PE_WINDEX.A-O

トレンドマイクロは、このウイルスをNoteworthy（要注意）に分類しました。

このファイル感染型ウイルスは、北朝鮮にホストされたWebサイトによって拡散する感染圧縮ファイルに埋め込まれています。

ウイルスは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

ウイルスは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

ウイルス マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した ウイルス ）を削除します。

侵入方法

ウイルスは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

インストール

ウイルスは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\Microsoft\Messenger\Extension\WdExt.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

ウイルスは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

• explorer.exe
• iexplore.exe
• ieuser.exe
• firefox.exe
• chrome.exe
• msimn.exe
• outlook.exe
• winmail.exe
• msnmsgr.exe
• yahoomessenger.exe
• ftp.exe

自動実行方法

ウイルスは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Windows Defender Extension = "%Application Data%\Microsoft\Defender\launch.exe"

バックドア活動

ウイルスは、不正リモートユーザからの以下のコマンドを実行します。

• Execute remote shell
• List processes
• List files and folders
• Download and execute file
• Upload file
• Capture Screenshots of affected system

ウイルスは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://a.{BLOCKED}perl.sh
• http://a-{BLOCKED}-01.slyip.net
• http://{BLOCKED}was-01.dyndns.org

ウイルスは、コマンド＆コントロール（C&C）サーバに以下の情報を通知します。

• Date and Time(UTC)
• Computer Name
• Username
• OS Information
• MAC Address
• IP Address and Subnet Mask
• Adapter Information
• Network (Internet | Closed)
• TTL \ Hop Limit
• Network Type (LAN | RAS | PROXY | MODEM | OFFLINE)

作成活動

ウイルスは、以下のファイルを作成します。

• %Application Data%Microsoft\Caches\Files\usd.dll
• %Application Data%\Microsoft\Common\Shared\dis.dll
• %Application Data%\Microsoft\Identities\{computer name}\arc.dll
• %Application Data%\Microsoft\Repairs\sha.dll
• %Application Data%\Microsoft\Shared\Modules\fil.dll
• %Application Data%\Microsoft\Windows\Addins\att.dll
• %Application Data%\Microsoft\Defender\launch.exe
• %System%\wtime32.dll
• %System%\mscaps.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

その他

ウイルスは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• http://windowsupdate.microsoft.com

ウイルス は、自身（コンピュータに侵入して最初に自身のコピーを作成した ウイルス ）を削除します。

ウイルスは、不正リモートユーザからの以下のコマンドを実行します。

• リモートシェルの実行
• プロセスの列挙
• ファイルおよびフォルダの列挙
• ファイルのファウンロードおよび実行
• ファイルのアップロード
• 感染コンピュータのスクリーンショットの取得

ウイルスは、コマンド＆コントロール（C&C）サーバに以下の情報を通知します。

• 日時(UTC)
• コンピュータ名
• ユーザ名
• オペレーティングシステム（OS）の情報
• MACアドレス
• IPアドレスおよびサブネットマスク
• アダプタ情報
• ネットワーク接続の有無
• TTL値(Time to live),ホップリミット
• ネットワークタイプ(LAN | RAS | PROXY | MODEM | OFFLINE)

ウイルスは、Windowsのエラー報告機能を無効にします。

ウイルスは、共有フォルダおよびリムーバブルドライブ内のEXEファイルに感染します。

ウイルスは、以下のレジストリキーを追加して、自身の継続的な活動の設定します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{ef2b00e3-19da-4e78-b118-6b6451b719f2}
StubPath = ""%System%\mscaps.exe" /s /n /i:U shell32.dll"
ComponentID = "DirectShow"
Version = "1,125,2406,1"
Locale = "*"