• Email
• Facebook
• Twitter
• Google+
• Linkedin

PE_FUJACKS.RC-O

---

• マルウェアタイプ: ファイル感染型
• 破壊活動の有無: なし
• 暗号化: はい
• 感染報告の有無: はい

---

  概要

ウイルスは、リムーバブルドライブを介してコンピュータに侵入します。 ウイルスは、他のマルウェアに作成され、コンピュータに侵入します。

ウイルスは、標的とするファイルの先頭に自身のコードを追加して感染活動を行います。

ウイルスは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。 ウイルスは、パスワードのリストを利用し、パスワード保護された共有フォルダにアクセスします。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

---

  詳細

侵入方法

ウイルスは、リムーバブルドライブを介してコンピュータに侵入します。

ウイルスは、ネットワーク共有フォルダを経由してコンピュータに侵入します。

ウイルスは、以下のマルウェアに作成され、コンピュータに侵入します。

• PE_FUJACKS.RC

インストール

ウイルスは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%\drivers\TXPlatform.exe

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

ウイルスは、以下のファイルを作成します。

• %System Root%\go.sys
• %Program Files%\WinRAR\myrar.txt

(註：%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。. %Program Files%フォルダは、Windows 2000、Server 2003、XP (32ビット)、通常 Vista (32ビット) および 7 (32ビット) の場合、通常 "C:\Program Files"、Windows XP (64ビット)、Vista (64ビット) および 7 (64ビット) の場合、通常 "C:\Program Files (x86)" です。)

自動実行方法

ウイルスは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Explorer = "%System%\drivers\TXPlatform.exe"

他のシステム変更

ウイルスは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
{application name}
Debugger = "ntsd -d"

ウイルスは、インストールの過程で以下のレジストリキーまたはレジストリ値を変更します。

HKEY_CLASSES_ROOT\HTTP\shell\
open\command
{default} = ""%Program Files%\InternetExplorer\iexplore.exe" -nohome"

(註：変更前の上記レジストリ値は、「"%Program Files%\Internet Explorer\iexplore.exe" -nohome」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
HTTP\shell\open\
command
{default} = ""%Program Files%\InternetExplorer\iexplore.exe" -nohome"

(註：変更前の上記レジストリ値は、「"%Program Files%\Internet Explorer\iexplore.exe" -nohome」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
NoDriveTypeAutoRun = "80"

(註：変更前の上記レジストリ値は、「91」となります。)

ウイルスは、以下のレジストリ値を変更し、隠しファイル属性のファイルを非表示にします。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced\Folder\Hidden\
SHOWALL
CheckedValue = "0"

(註：変更前の上記レジストリ値は、「1」となります。)

ウイルスは、以下のレジストリキーを削除します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wscsvc

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_WSCSVC

＜アプリケーション名＞には以下のいずれかが該当します。

• 360Safe.exe
• 360tray.exe
• AVP.exe
• CCenter.exe
• RavMon.exe
• RavMonD.exe
• RavStub.exe
• RavTask.exe

ファイル感染

ウイルスは、以下の形式のファイルに感染します。

• .exe

ウイルスは、標的とするファイルの先頭に自身のコードを追加して感染活動を行います。

感染活動

ウイルスは、すべての物理ドライブおよびリムーバブルドライブ内に以下として自身のコピーを作成します。

• ¡¡¡¡¡¡.exe

ウイルスは、以下のファイル名を用いて、ネットワーク共有フォルダ内に自身のコピーを作成します。

• Cool_GameSetup.exe

ウイルスは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

上記INFファイルには、以下の文字列が含まれています。

[AutoRun]
OPEN=¡¡¡¡¡¡.exe
shell\open=´ò¿ª(&O)
shell\open\Command=¡¡¡¡¡¡.exe
shell\open\Default=1
shell\explore=×ÊÔ´¹ÜÀíÆ÷(&X)
shell\explore\Command=¡¡¡¡¡¡.exe

ウイルスは、以下のパスワードのリストを利用し、パスワード保護された共有フォルダにアクセスします。

• password
• harley
• 123456
• pussy
• mustang
• shadow
• qwerty
• baseball
• letmein
• 12345678
• 12345
• admin
• 5201314
• qq520
• 1234567
• 123456789
• 654321
• 54321
• 000000
• 11111111
• 88888888
• passwd
• database
• abc123
• sybase
• 123qwe
• server
• computer
• super
• 123asd
• ihavenopass
• godblessyou
• enable
• alpha
• 111111
• 121212
• 123123
• 1234qwer
• 123abc
• patrick
• administrator
• fuckyou
• test123
• temp123
• owner
• login
• Login
• pw123
• mypc123
• admin123
• mypass
• mypass123
• 901100
• Administrator
• Guest
• admin

プロセスの終了

ウイルスは、感染コンピュータ上で確認した以下のサービスを終了します。

• Schedule
• sharedaccess
• kavsvc
• kavsvc
• McAfeeFramework
• McShield
• McTaskManager
• McAfeeFramework
• McShield
• McTaskManager
• navapsvc
• wscsvc
• KPfwSvc
• SNDSrvc
• ccProxy
• ccEvtMgr
• ccSetMgr
• SPBBCSvc
• Symantec Core LC
• NPFMntor
• MskService
• FireSvc
• RsCCenter
• RsRavMon
• RsCCenter
• RsRavMon
• kav
• KAVPersonal50
• AVP
• McAfeeUpdaterUI
• Network Associates Error Reporting Service
• ShStatEXE

ウイルスは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• Mcshield.exe
• VsTskMgr.exe
• naPrdMgr.exe
• UpdaterUI.exe
• TBMon.exe
• scan32.exe

その他

ウイルスは、タイトルバーに以下の文字列を含むアプリケーションのウィンドウを閉じます。

• VirusScan
• NOD32
• Symantec AntiVirus
• System Safety Monitor
• System Repair Engineer
• IceSword

ウイルスは、以下のWebサイトにアクセスして不正なファイルをダウンロードします。

• http://{BLOCKED}g08.com/down/down.txt

ただし、情報公開日現在、このWebサイトにはアクセスできません。

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください