PE_AGATDUL.A-O

ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ウイルスは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

ウイルスは、ネットワーク共有フォルダを経由してコンピュータに侵入します。

ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ウイルスは、以下のファイルを作成し実行します。

• %System Root%\z1.tmp - detected as TROJ_ROOTER.AACZ

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

ウイルスは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%\drivers\TXPlatform.exe

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

ウイルスは、以下の無害なファイルを作成します。

• %System Root%\GK.TMP

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

自動実行方法

ウイルスは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Explorer = "%System%\drivers\TXPlatform.exe"

他のシステム変更

ウイルスは、以下のレジストリ値を変更します。

HKEY_CLASSES_ROOT\HTTP\shell\
open\command
@ = ""%Program Files%\InternetExplorer\iexplore.exe" -nohome"

(註：変更前の上記レジストリ値は、「"%Program Files%\Internet Explorer\iexplore.exe" -nohome」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
NoDriveTypeAutoRun = "80"

(註：変更前の上記レジストリ値は、「91」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced\Folder\Hidden\
SHOWALL
CheckedValue = "0"

(註：変更前の上記レジストリ値は、「1」となります。)

感染活動

ウイルスは、すべての物理ドライブおよびリムーバブルドライブ内に以下として自身のコピーを作成します。

• [DRIVE]:\¡¡¡¡¡¡.exe

ウイルスは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

上記INFファイルには、以下の文字列が含まれています。

[autorun]
OPEN=¡¡¡¡¡¡.exe
shell\open={garbage code}
shell\open\Command=¡¡¡¡¡¡.exe
shell\open\Default=1
shell\explore={garbage code}
shell\explore\Command=¡¡¡¡¡¡.exe

その他

ウイルスは、以下の不正なWebサイトにアクセスします。

• http://www.{BLOCKED}gou.com/goto/down.txt
• http://www.{BLOCKED}s.com/TJ.Htm

ただし、情報公開日現在、このWebサイトにはアクセスできません。

ウイルスは、共有フォルダ内で確認したすべての実行ファイルに感染します。このウイルスが感染したファイルは、「PE_AGATDUL.A」として検出されます。

ウイルスは、確認した共有フォルダに以下のファイルを作成し、自身の感染の証とします。

• Desktop_1.ini

ウイルスは、以下のIFEOレジストリを作成し、特定のアプリケーションを無効にします。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options
Debugger = "ntsd -d"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\{application name}
Debugger = "ntsd -d"

上記の{application name}の部分は、 以下のいずれかとなります。

• 360hotfix.exe
• 360rpt.exe
• 360safe.exe
• 360safebox.exe
• 360tray.exe
• Debugger
• SetupLD.exe
• agentsvr.exe
• apvxdwin.exe
• ast.exe
• avcenter.exe
• avengine.exe
• avgnt.exe
• avguard.exe
• avltmain.exe
• avp.exe
• avp32.exe
• avtask.exe
• bdagent.exe
• bdwizreg.exe
• boxmod.exe
• ccapp.exe
• ccenter.exe
• ccevtmgr.exe
• ccregvfy.exe
• ccsetmgr.exe
• egui.exe
• ekrn.exe
• extdb.exe
• frameworkservice.exe
• frwstub.exe
• guardfield.exe
• iparmor.exe
• kaccore.exe
• kasmain.exe
• kav32.exe
• kavstart.exe
• kavsvc.exe
• kavsvcui.exe
• kislnchr.exe
• kissvc.exe
• kmailmon.exe
• knownsvr.exe
• kpfw32.exe
• kpfwsvc.exe
• kregex.exe
• kvfw.exe
• kvmonxp.exe
• kvmonxp.kxp
• kvol.exe
• kvprescan.exe
• kvsrvxp.exe
• kvwsc.exe
• kvxp.kxp
• kwatch.exe
• livesrv.exe
• makereport.exe
• mcagent.exe
• mcdash.exe
• mcdetect.exe
• mcshield.exe
• mctskshd.exe
• mcvsescn.exe
• mcvsshld.exe
• mghtml.exe
• naprdmgr.exe
• navapsvc.exe
• navapw32.exe
• navw32.exe
• nmain.exe
• nod32.exe
• nod32krn.exe
• nod32kui.exe
• npfmntor.exe
• oasclnt.exe
• pavsrv51.exe
• pfw.exe
• psctrls.exe
• psimreal.exe
• psimsvc.exe
• qqdoctormain.exe
• ras.exe
• ravmon.exe
• ravmond.exe
• ravstub.exe
• ravtask.exe
• rfwcfg.exe
• rfwmain.exe
• rfwproxy.exe
• rfwsrv.exe
• rsagent.exe
• rsmain.exe
• rsnetsvr.exe
• rssafety.exe
• rstray.exe
• safebank.exe
• safeboxtray.exe
• scan32.exe
• scanfrm.exe
• sched.exe
• seccenter.exe
• secnotifier.exe
• shstat.exe
• smartup.exe
• sndsrvc.exe
• spbbcsvc.exe
• symlcsvc.exe
• tbmon.exe
• uihost.exe
• ulibcfg.exe
• updaterui.exe
• uplive.exe
• vcr32.exe
• vcrmon.exe
• vptray.exe
• vsserv.exe
• vstskmgr.exe
• webproxy.exe
• xcommsvr.exe
• xnlscn.exe