PE_KOLOBOK.A-O

ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ウイルスは、標的とするファイルの先頭に自身のコードを追加して感染活動を行います。 ウイルスは、上記ファイルにコードを挿入し、特定のファイル形式に感染します。 ウイルスは、感染ファイル内に「infection marker（感染したことを示す印）」を作成します。

ウイルスは、ワーム活動の機能を備えていません。

ウイルスは、バックドア活動の機能を備えていません。

これは、トレンドマイクロの製品では、特定の不正活動を実行するファイルの検出名となります。

侵入方法

ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ウイルスは、異なるファイル名を用いて以下のフォルダ内に自身のコピーを作成します。

• %Application Data%\wecox.~p1 <- modified copy, prepended with “??KOLO” before the MZ header

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

ウイルスは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %Application Data%\services.exe <- with “-?cwk” as argument
• %Application Data%\wecox.~p0

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

ウイルスは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• PACMAN:CLOCKWORK:KOLOBOK

ファイル感染

ウイルスは、標的とするファイルの先頭に自身のコードを追加して感染活動を行います。

ウイルスは、上記のファイルにコードを挿入し、以下の拡張子を持つファイルに感染します。

• .exe
• .scr
• .zip
• .rar
  (Note: The affected system must have a WinRAR installed for infection to .rar and .zip to work)
  It infects .rar and .zip file by dropping an infected copy of “msiexec.exe” to the archives
  • Uses the following shell command to aid this routine:
    • %Program Files%\WinRAR\WinRAR.exe a –ep –ibck –m5 –u –y – %User Temp%\{list of file names}{random number}.exe

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

ウイルスは、感染ファイル内に「infection marker（感染したことを示す印）」を作成します。

ウイルスは、以下の文字列を含むフォルダには感染しません。

• "ram f" <- Program Files
• ":\win" <- Windows Directory
• "\sys" <- System Directory
• "\recy" <- Recycle Bin
• TEMP <- Temp Folder
• APPDATA <- Application Data

感染活動

ウイルスは、ワーム活動の機能を備えていません。

バックドア活動

ウイルスは、バックドア活動の機能を備えていません。

作成活動

ウイルスは、以下のファイルを作成します。

• %User Temp%\{random}.{random} <- temporary copy of target file to infect, deleted afterwards
• %User Temp%\{list of file names}{random number}.exe <- temporary copy of infected “msiexec.exe”, deleted afterwards
  Where {list of file names} can be any of the following:
  • install
  • upgrade
  • trainer
  • license
  • keygen
  • serial
  • setup
  • patch
  • crack
  • cheat
  • cdkey

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

その他

これは、トレンドマイクロの製品では、以下の検出名となります。

• The mother file for PE_KOLOBOK.A

ウイルスは、異なるファイル名を用いて以下のフォルダ内に自身のコピーを作成します。このファイルは、MZヘッダの前に“??KOLO”が追加されたコピーです。

• %Application Data%\wecox.~p1

ウイルスは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。このコピーは引数”-?cwk”をともないます。

• %Application Data%\services.exe

ウイルスは、上記のファイルにコードを挿入し、以下の拡張子を持つファイルに感染します。

• .exe
• .scr
• .zip
• .rar
  (註: ウイルスが.rarおよび.zipファイルに感染するには感染コンピュータにWinRARがインストールされている必要があります。)

ウイルスは、アーカイブに“msiexec.exe”の感染されたコピーを作成し、 RARおよびZIPファイルに感染します。

• 　%Program Files%\WinRAR\WinRAR.exe a –ep –ibck –m5 –u –y – %User Temp%\{list of file names}{random number}.exe

ウイルスは、以下の文字列を含むフォルダには感染しません。

• "ram f" <- プログラムファイル
• ":\win" <- Windows ディレクトリ
• "\sys" <- システムディレクトリ
• "\recy" <- ゴミ箱
• TEMP <-一時フォルダ
• APPDATA <- アプリケーションデータ

ウイルスは、以下のファイルを作成します。

• %User Temp%\{random}.{random} <- 感染対象のファイルの一時的なコピーで後で削除されます。
• %User Temp%\{list of file names}{random number}.exe <- 感染した“msiexec.exe”の一時的なコピーで後で削除されます。
  {list of file names}には、以下のいずれかが当てはまります。
  • install
  • upgrade
  • trainer
  • license
  • keygen
  • serial
  • setup
  • patch
  • crack
  • cheat
  • cdkey

これは、「PE_KOLOBOK.A」の親ファイルのトレンドマイクロの検出名です。

ウイルスは、以下の「infection marker（感染したことを示す印）」を利用します。

• NAMCAP
• NAMCAPの後の不正コードのサイズ

ウイルスは、以下のドライブに感染します。

• 固定ドライブ
  • ディレクトリがInternet Explorer（IE）上で開かれている際にのみ感染します。
  • ウイルスは、“explorer.exe”をフックし、開かれているディレクトリを確認して感染します。
• リムーバルドライブ
• リモートドライブ
  • 最初の実行からのTickCount– 最後のイベント/アクションからのTickCount > 1500000 ms (~25 分)の場合、リムーバルドライブまたはリモートドライブに感染します。

ウイルスは、ルートキット機能を備えていません。

ウイルスは、脆弱性を利用した感染活動を行いません。