PE_MUSTAN.A

ウイルスは、リムーバブルドライブを介してコンピュータに侵入します。 ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ウイルスは、セキュリティ対策プログラムに関連するレジストリ値を削除します。これにより、ウイルスは、感染コンピュータにインストールされているセキュリティ製品に検出されることなく、自身の不正活動を実行することが可能になります。 ウイルスは、特定のレジストリ値を追加し、セキュリティ関連のアプリケーションを無効にします。

ウイルスは、標的とするホストファイルの末尾に自身のコードを追記することにより感染活動を実行します。

ウイルスは、特定のWebサイトにアクセスします。これにより、不正リモートユーザにウイルスのインストールが知らされます。また、不正なファイルがダウンロードされます。この結果、感染コンピュータは、さらなる他の脅威にさらされることとなります。

侵入方法

ウイルスは、リムーバブルドライブを介してコンピュータに侵入します。

ウイルスは、ネットワーク共有フォルダを経由してコンピュータに侵入します。

ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ウイルスは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• _PPIftSvc
• _PPIft1

ウイルスは、以下のプロセスにコードを組み込みます。

• lsass.exe
• svchost.exe

自動実行方法

ウイルスは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wmicucltsvc
ImagePath = "%System%\wmicuclt.exe"

他のシステム変更

ウイルスは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wmicucltsvc

ウイルスは、インストールの過程で、以下のレジストリ値を追加します。

HKLM\SYSTEM\Select
v = "{virus code}"

HKLM\SYSTEM\Select
p = "{login passwords}

HKLM\SYSTEM\Select
pu = "{login usernames} - {login passwords}"

HKLM\SYSTEM\Select
ext = "{plugin code obtained from C&C}"

HKLM\SYSTEM\Select
plg = "{plugin code obtained from C&C}"

HKLM\SYSTEM\Select
rmt = "{date and time of execution}"

HKLM\SYSTEM\Select
{ip address of targeted victims} = {date and time of execution}

ウイルスは、ウイルス対策およびセキュリティ製品に関連した以下のレジストリ値を削除します。

HKLM\SOFTWARE\Microsoft\
CurrentVersion\Run
{AntiVirus Application} = "{Path of AntiVirus Application}"

ウイルスは、以下のレジストリ値を追加し、セキュリティ関連のアプリケーションを無効にします。

HKEY_LOCAL_MACHINE\CurrentControlSet\Services
{Security Service} = "4"

ファイル感染

ウイルスは、以下の形式のファイルに感染します。

• 32bit .exe files

ウイルスは、標的とするホストファイルの末尾に自身のコードを追記することにより感染活動を実行します。

ウイルスは、以下の文字列を含むフォルダには感染しません。

• windows
• winnt
• qq
• Outlook
• System Volume Information
• RECYCLER
• Internet Explorer
• Movie Maker
• Messenger
• Common Files
• Microsoft

これは、トレンドマイクロの製品では、以下 により感染したファイルの検出名です。

• PE_MUSTAN.A

ダウンロード活動

ウイルスは、以下の不正Webサイトにアクセスします。

• e.{BLOCKED}t.com
• e.{BLOCKED}t.in
• e.{BLOCKED}t.net
• {BLOCKED}1.{BLOCKED}g.in
• {BLOCKED}1.{BLOCKED}g.net
• {BLOCKED}1.{BLOCKED}g.net

ウイルスは、以下のWebサイトにアクセスし、ファイルをダウンロードします。

• {BLOCKED}.{BLOCKED}s.info/plg3.z
• {BLOCKED}.{BLOCKED}s.info/wp.z