PE_QUERVAR.E

ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ウイルスは、標的とするファイルの先頭に自身のコードを追加して感染活動を行います。 ウイルスは、感染ファイル内に「infection marker（感染したことを示す印）」を作成します。

ウイルスは、特定のWebサイトにアクセスします。これにより、不正リモートユーザにウイルスのインストールが知らされます。また、不正なファイルがダウンロードされます。この結果、感染コンピュータは、さらなる他の脅威にさらされることとなります。

侵入方法

ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ウイルスは、以下のファイルを作成します。

• %User Profile%\Application Data\{Random Folder}\{Random File name}.EXE.LNK
• %User Profile%\Application Data\{Random Folder}\{Random File name}.EXE.INI
• {Malware Path and File name}.{extension of the original file} - normal file that has been previously infected by PE_QUERVAR.E-0

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。)

ウイルスは、以下のファイルを作成し実行します。

• %User Profile%\Application Data\{random folder name}\{random file name}.exe - detected as PE_QUERVAR.E-O

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。)

ウイルスは、以下のフォルダを作成します。

• %User Profile%\Application Data\{random folder name}

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。)

ウイルスは、以下のプロセスにコードを組み込みます。

• csrss.exe

自動実行方法

ウイルスは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Windows
load = "%User Profile%\Application Data\{random folder name}\{random filename}.exe.lnk"

ファイル感染

ウイルスは、以下の形式のファイルに感染します。

• .exe
• .doc
• .docx
• .xls
• .xlsx

ウイルスは、標的とするファイルの先頭に自身のコードを追加して感染活動を行います。

ウイルスは、感染ファイル内に「infection marker（感染したことを示す印）」を作成します。

プロセスの終了

ウイルスは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• taskmgr.exe

ダウンロード活動

ウイルスは、以下の不正Webサイトにアクセスします。

• http://{BLOCKED}l.ru/33797470/2a06754.50664748/3052832ace10d474336096b36fbd49f05f190.exe?{random characters}
• http://{BLOCKED}0.com/c/osnovnoj2.exe?{random number}
• http://{BLOCKED}ewidea1.ru/1.php?{random characters}&pin={random characters}&crc={random characters}
• http://www.{BLOCKED}oservisi.com/test/php/way.php?{random characters}&pin=58252D00982BC1DA&crc={random characters}