Virus.MSIL.MAZEFECT.A

ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ウイルスは、「infection marker（感染したことを示す印）」をファイルに追加します。

侵入方法

ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ウイルスは、以下のファイルを作成します。

• %User Temp%\{15 random alphanumeric characters}.exe → original copy of any infected file

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

ウイルスは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Temp%\CTS.exe
• %Windows%\CTS.exe

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

ウイルスは、以下のプロセスを追加します。

• %Temp%\{15 random alphanumeric character}.exe
• %Windows%\CTS.exe

(註：%Temp%フォルダは、一時的にファイルが保存されるフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Windows\Temp" です。.. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

ウイルスは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\3pc6RWOgectGTFqCowxjeGy3XIGPtLwNrsr2zDctYD4hAU5pj4GW7rm8gHrHyTB6

自動実行方法

ウイルスは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
CTS = %Windows%\CTS.exe

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
CurrentVersion\Run
CTS = %User Temp%\CTS.exe

ファイル感染

ウイルスは、以下のファイルに感染します。

• %User Profile%\{Filename}.exe
• {Network / Remote Drive}\{Filename}.exe
• {Removable Drive}\{Filename}.exe

(註：%User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。)

ウイルスは、以下の形式のファイルに感染します。

• exe

ウイルスは、「infection marker（感染したことを示す印）」をファイルに追加します。

その他

ウイルスは、以下を実行します。

• It continuously monitors for .exe files to infect on removable and network / remote drives.
• It checks if the following virtual machine- or sandbox-related strings are present in the affected system:
  • MALWARE
  • S3 Trio32/64
  • SAMPLE
  • SANDBOX
  • SCHMIDTI
  • USER
  • VirtualBox Graphics Adapter
  • VIRUS
  • VM Additions S3 Trio32/64
  • VMWARE
  • VMware SVGA II
• It checks if the following virtual machine- or sandbox-related window are present in the affected system:
  • Afx:400000:0 → WinJail Sandbox

マルウェアは、以下の仮想環境やサンドボックスに関連したモジュールが感染コンピュータ内に存在していないかを確認します。

• SbieDLL.dll

マルウェアは、以下の仮想環境やサンドボックスに関連したレジストリキーが感染コンピュータ内に存在していないかを確認します。

HKEY_LOCAL_MACHINE\HARDWARE\DEVICEMAP\
Scsi\Scsi Port 0\Scsi Bus 0\
Target Id 0\Logical Unit Id 0
Identifier = VBOX

HKEY_LOCAL_MACHINE\HARDWARE\Description\
System

HKEY_LOCAL_MACHINE\HARDWARE\Description\
System
VideoBiosVersion = VIRTUALBOX

HKEY_LOCAL_MACHINE\SOFTWARE\Oracle\
VirtualBox Guest Additions

HKEY_LOCAL_MACHINE\HARDWARE\DEVICEMAP\
Scsi\Scsi Port 0\Scsi Bus 0\
Target Id 0\Logical Unit Id 0
Identifier = VMWARE

HKEY_LOCAL_MACHINE\SOFTWARE\VMware, Inc.\
VMware Tools

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\Disk\Enum
0 = vmware

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\Class\4D36E968-E325-11CE-BFC1-08002BE10318\
0000
DriverDesc = VMWARE

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\Class\4D36E968-E325-11CE-BFC1-08002BE10318\
0000\Settings
Device Description = VMWARE

HKEY_LOCAL_MACHINE\SOFTWARE\VMware, Inc.\
VMware Tools
InstallPath = C:\PROGRAM FILES\VMWARE\VMWARE TOOLS\

HKEY_LOCAL_MACHINE\HARDWARE\DEVICEMAP\
Scsi\Scsi Port 0\Scsi Bus 0\
Target Id 0\Logical Unit Id 0
Identifier = QEMU

HKEY_LOCAL_MACHINE\HARDWARE\Description\
System
SystemBiosVersion = QEMU

マルウェアは、以下の仮想環境やサンドボックスに関連したフォルダやファイルが感染コンピュータ内に存在していないかを確認します。

• C:\file.exe