PE_XPAJ.C-O
W32.Xpaj.B (Symantec); Virus:Win32/Xpaj.gen!A (Microsoft )
Windows 2000, Windows XP, Windows Server 2003, Windows Vista, Windows 7
マルウェアタイプ:
ファイル感染型
破壊活動の有無:
なし
暗号化:
はい
感染報告の有無 :
はい
概要
トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。
ウイルスは、2012年10月、オーストラリアおよび他の国々のユーザに影響を与えたマルウェアファミリの一部です。ウイルスは、ファイル感染に加え、感染コンピュータの「マスター・ブート・レコード（MBR）」にも感染し、自身がWindow起動時に自動実行されるようにします。また、これにより、検出が困難になります。
ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
ウイルスは、感染したコンピュータの「マスター・ブート・レコード（MBR）」に感染します。
ウイルスは、特定のWebサイトにアクセスし、情報を送受信します。
詳細
侵入方法
ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
インストール
ウイルスは、以下のファイルを作成します。
- %Windows%\qnhn.ain
(註：%Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。)
ファイル感染
ウイルスは、以下の形式のファイルに感染します。
- .DLL
- .EXE
- .SCR
- .SYS
ウイルスは、感染したコンピュータのMBRに感染して、以下の活動を実行します。
- to automatically load itself every time the system boots.
その他
ウイルスは、以下のWebサイトにアクセスしてインターネット接続を確認します。
- microsoft.com
- facebook.com
ウイルスは、以下のWebサイトにアクセスし、情報を送受信します。
- {BLOCKED}iolosto.com
このウイルスのメインとなる活動は、広告および広告のクリック詐欺に関連しており、利益を得ることです。
ウイルスは、Windowsにおける64ビットのバージョンでも実行します。
ウイルスは、ドメインを生成する際に「Domain Generation Algorithm (DGA)」と呼ばれるドメイン生成の手法を用いて197のURLを生成します。
対応方法
手順 1
Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 2
PE_XPAJ.C-Oとして検出されるファイル名を確認後、Windowsの回復コンソールを使用し、Master Boot Record（MBR）の修復およびPE_XPAJ.C-Oの削除を実行します。
手順 3
以下のファイルを検索し削除します。
- %Windows%\qnhn.ain
手順 4
最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「PE_XPAJ.C-O」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
手順 5
Master Boot Record（MBR）を修復します。
Master Boot Record（MBR）の修復：
• Windows 2000、XP および Server 2003 の場合
- 最新のバージョン（エンジン、パターンファイル）を導入したセキュリティ対策製品を用いてウイルス検索を実行してください。検出したパス名およびファイル名を確認し、メモ等をとってください。
- Windows のインストール CD を使用して、コンピュータを再起動します。
- [セットアップへようこそ] 画面で、修復の R キーを押します。
（註： Windows 2000 の場合、R キーを入力後 C キーを入力し、[修復オプション]から[回復コンソール]を選択します。） - 修復する Windows がインストールされているドライブを選択します（通常は "1" を選択します）。.
- 管理者のパスワードを入力し、Enter を押します。管理者パスワードがない場合は、何も入力せずに Enter を押します。
- コマンドプロンプトに、上記で確認したマルウェアが検出されたドライブ名を入力します。
- 以下のコマンドを入力し、Enter を押します。
fixmbr ＜感染したドライブ＞ - コマンドプロンプトに exit と入力し、コンピュータを通常どおり再起動してください。
※"fixmbr" と "＜感染したドライブ＞" の間に半角スペースを入れてください。
※"＜感染したドライブ＞" とは、このマルウェアが感染したブータブル・ドライブのことです。ドライブが特定できない場合、プライマリ・ブート・ドライブにあるマスター・ブート・レコードが上書きされている可能性があります。
• Windows Vista および 7 の場合
- 最新のバージョン（エンジン、パターンファイル）を導入したセキュリティ対策製品を用いてウイルス検索を実行し、検出したマルウェアのパス名およびファイル名を確認し、メモ等をとってください。
- Windows のインストール DVD を使用して、コンピュータを再起動します。
- 再起動するかどうかの確認画面が表示されたら、いずれかのキーを入力し、表示される指示に従います。
- Windows のインストール DVD によっては、インストールする言語の選択が必要になる場合があります。 Windows のインストール画面で、言語、ロケール情報およびキーボードの種類と入力方法を選択します。[コンピュータを修復する]をクリックします。
- [Windows の起動に伴う問題の修復用の回復ツールを使用します。]を選択します。オペレーティングシステム（OS）を選択し、[次へ]をクリックします。
- [スタートアップ修復]画面が表示された場合、[キャンセル]-[はい]-[完了]をクリックします。
- [システム回復オプション]メニューで、[コマンドプロンプト]をクリックします。
- 以下のコマンドを入力し、Enter を押します。
BoorRec.exe /fixmbr - コマンドプロンプトに exit と入力し、Enter を押して、コマンドプロンプト画面を閉じてください。
- [再起動]をクリックし、コンピュータを通常どおり再起動してください。
註：
このマルウェアを駆除するための専用ツールは、お問い合わせいただいたお客様に個別に提供いたしております。
詳しくは下記サポートセンター窓口へお問い合わせください。
ご利用はいかがでしたか？ アンケートにご協力ください