PE_QUERVAR.E-O

トレンドマイクロは、このウイルスをNoteworthy（要注意）に分類しました。

ウイルスは、著作権法を施行するかのように装い、感染コンピュータをロックし、ユーザが使用できないようにする「ランサムウェア（身代金要求型不正プログラム）」をダウンロードします。

ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ウイルスは、特定のプロセスに作成したファイルを組み込みます。

ウイルスは、感染ファイル内に「infection marker（感染したことを示す印）」を作成します。

侵入方法

ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ウイルスは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Profile%\Application Data\{random folder name}\{random file name}.exe

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。)

ウイルスは、以下のコンポーネントファイルを作成します。

• %User Profile%\Application Data\{random folder name}\{random file name}.exe.lnk
• %User Profile%\Application Data\{random folder name}\{random file name}.exe.ini

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。)

ウイルスは、以下のフォルダを作成します。

• %User Profile%\Application Data\{random folder name}

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。)

ウイルスは、以下のプロセスに作成したファイルを組み込みます。

• csrss.exe

ウイルスは、自身（コンピュータに侵入して最初に自身のコピーを作成したウイルス）を終了し、侵入したコンピュータ内で作成した自身のコピーの方を実行します。

ウイルスは、感染コンピュータ上のメモリに以下のプロセスを確認すると、自身を終了します。

• taskmgr.exe

自動実行方法

ウイルスは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Windows
load = "%User Profile%\Application Data\{random folder name}\{random filename}.exe.lnk"

(註：変更前の上記レジストリ値は、「""」となります。)

ファイル感染

ウイルスは、以下の形式のファイルに感染します。

• exe
• doc
• docx
• xls
• xlsx

ウイルスは、感染ファイル内に「infection marker（感染したことを示す印）」を作成します。

ダウンロード活動

ウイルスは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://{BLOCKED}l.ru/33797470/2a06754.50664748/3052832ace10d474336096b36fbd49f05f190.exe?{random characters} - detected by Trend Micro as TROJ_SIREFEF.SZP
• http://{BLOCKED}0.com/c/osnovnoj2.exe?{random number} - detected by Trend Micro as TROJ_RANSOM.CMY

その他

ウイルスは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}ewidea1.ru/1.php?{random characters}&pin={random characters}&crc={random characters}
• http://www. {BLOCKED}oservisi.com/test/php/way.php?{random characters}&pin=58252D00982BC1DA&crc={random characters}

ウイルスは、以下のように感染したファイルの拡張子を変更します。

• ".DOC" から ".COD.SCR"
• ".DOCX" から ".XCOD.SCR"
• ".XLS" から ".SLX.SCR"
• ".XLSX" から ".XSLX.SCR"

そして、ウイルスは、感染したファイルのオリジナルのコピーを削除します。