PE_QUERVAR.B-O

トレンドマイクロは、このウイルスをNoteworthy（要注意）に分類しました。

このウイルスは、特にヨーロッパ地域のメディアやセキュリティ関連企業から注目を集めました。ウイルスは、Microsoft Word ファイル（拡張子 DOC および DOCX）や Microsoft Excel ファイル（拡張子 XLS および XLSX）、通常の実行ファイル（拡張子 EXE）に感染します。ウイルスは、マップされたネットワークドライブやUSBドライブまたはリムーバブルドライブを狙うウイルスです。

ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ウイルスは、標的とするファイルの先頭に自身のコードを追加して感染活動を行います。 ウイルスは、「infection marker（感染したことを示す印）」をファイルに追加します。

ウイルスは、イベントを作成します。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ウイルスは、以下のコンポーネントファイルを作成します。

• %Application Data%\{random folder name}\{random file name}.exe.ini
• %Application Data%\{random folder name}\{random file name}.exe.lnk

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

ウイルスは、以下のファイルを作成し実行します。

• %Application Data%\{random folder name}\{random file name}.exe - detected as PE_QUERVAR.B-O

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

自動実行方法

ウイルスは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Windows
load = "%Application Data%\{random folder name}\{random file name}.exe.lnk"

ファイル感染

ウイルスは、以下の形式のファイルに感染します。

• EXE
• DOC
• DOCX
• XLS
• XLSX

ウイルスは、標的とするファイルの先頭に自身のコードを追加して感染活動を行います。

ウイルスは、「infection marker（感染したことを示す印）」をファイルに追加します。

プロセスの終了

ウイルスは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• taskmgr.exe

その他

このウイルスのコードから、ウイルスは、以下の機能を備えています。

• Attempts to connect to the following remote registry using Remote Registry Service: HKEY_CURRENT_USER\kaspersky
• Update the malware copy.
• Change the file names and folder name randomly.
• Change the hash randomly on command.

ウイルスは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• http://www.update.microsoft.com/windowsupdate/v6/thanks.aspx?{random}&pin={random}

ウイルスは、以下のWebサイトにアクセスして不正なファイルをダウンロードします。

• http://{BLOCKED}dns.com/bl/in.php?{random}&pin={random}

ウイルスは、以下のイベントを作成します。

• "SayHellotomyLittleFriend"

ただし、情報公開日現在、このWebサイトにはアクセスできません。

ウイルスが備える機能は、以下のとおりです。

• リモート・レジストリ・サービスを利用した以下のリモートレジストリへのアクセス
  • HKEY_CURRENT_USER\kaspersky
• 自身のコピーのアップデート
• ファイル名およびフォルダ名をランダムに変更
• コマンドでハッシュ値をランダムに変更

ウイルスは、オリジナルのファイルの拡張子の種類によって、感染したファイルを以下のように変更します。

• "＜オリジナルのファイル名＞.doc" から "＜オリジナルのファイル名＞cod.scr"
• "＜オリジナルのファイル名＞.docx" から "＜オリジナルのファイル名＞xcod.scr"
• "＜オリジナルのファイル名＞.xls" から "＜オリジナルのファイル名＞slx.scr"
• "＜オリジナルのファイル名＞.xlsx" から "＜オリジナルのファイル名＞xslx.scr"

マルウェアは、「System Volume Information」フォルダのないドライブを検索することにより、標的とするドライブを探し、ローカルのハード・ディスク・ドライブ内のファイルの感染を防ぎます。