PE_QUERVAR.D-O

ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ウイルスは、フォルダを作成し、このフォルダ内に自身のファイルを作成します。 ウイルスは、特定のプロセスに作成したファイルを組み込みます。

ウイルスは、感染ファイル内に「infection marker（感染したことを示す印）」を作成します。

侵入方法

ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ウイルスは、以下のコンポーネントファイルを作成します。

• %User Profile%\Application Data\{Random Folder}\{Random File name}.EXE.LNK
• %User Profile%\Application Data\{Random Folder}\{Random File name}.EXE.INI

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。)

ウイルスは、以下のファイルを作成し実行します。

• %User Profile%\Application Data\{Random folder}\{Random File name}.exe - detected as PE_QUERVAR.D-0

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。)

ウイルスは、フォルダを作成し、このフォルダ内に自身のファイルを作成します。

ウイルスは、以下のフォルダを作成します。

• %User Profile%\Application Data\{Random Folder}

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。)

ウイルスは、以下のプロセスに作成したファイルを組み込みます。

• csrss.exe

ウイルスは、感染コンピュータ上のメモリに以下のプロセスを確認すると、自身を終了します。

• taskmgr.exe

自動実行方法

ウイルスは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Windows
Load = "%User Profile%\Application Data\{Random Folder}\{Random Filename}.EXE.LNK"

(註：変更前の上記レジストリ値は、「""」となります。)

ファイル感染

ウイルスは、以下の形式のファイルに感染します。

• EXE
• DOC
• DOCX
• XLS
• XLSX

ウイルスは、感染ファイル内に「infection marker（感染したことを示す印）」を作成します。

その他

ウイルスは、以下の不正なWebサイトにアクセスします。

• http://windows{BLOCKED}soft.com/update.apx
• http://{BLOCKED}w.com.br/includes/domit/way.php
• http://www.{BLOCKED}kes.com/way.php

ウイルスは、以下のように感染したファイルの拡張子を変更します。

• ".DOC" から ".COD.SCR"
• ".DOCX" から ".XCOD.SCR"
• ".XLS" から ".SLX.SCR"
• ".XLSX" から ".XSLX.SCR"

そして、ウイルスは、感染したファイルのオリジナルのコピーを削除します。感染したファイルは、すでに「PE_QUERVAR.D」として検出されています。