PE_XPAJ.C

トレンドマイクロは、このウイルスをNoteworthy（要注意）に分類しました。

ウイルスは、2012年10月、オーストラリアおよび他の国々のユーザに影響を与えたマルウェアファミリの一部です。ウイルスは、ファイル感染に加え、感染コンピュータの「マスター・ブート・レコード（MBR）」にも感染し、自身がWindow起動時に自動実行されるようにします。また、これにより、検出が困難になります。

ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ウイルスは、上記ファイルにコードを挿入し、特定のファイル形式に感染します。 ウイルスは、感染したコンピュータの「マスター・ブート・レコード（MBR）」に感染します。

侵入方法

ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ファイル感染

ウイルスは、上記のファイルにコードを挿入し、以下の拡張子を持つファイルに感染します。

• DLL
• EXE
• SCR
• SYS

ウイルスは、感染したコンピュータのMBRに感染して、以下の活動を実行します。

• terminate several AV processes
• inject code to browser to download encrypted files
• automatically load PE_XPAJ.C-O every time the system boots.

プロセスの終了

ウイルスは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• avp.exe
• avgnt.exe
• avguard.exe
• sched.exe
• avastui.exe
• ccsvchst.exe
• avgcsrvx.exe
• avgnsx.exe
• avgrsx.exe
• avgtray.exe
• avgwdsvc.exe
• egui.exe

その他

ウイルスは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• microsoft.com

ウイルスは、以下の不正なWebサイトにアクセスします。

• {BLOCKED}.{BLOCKED}.162.208:35516
• {BLOCKED].{BLOCKED}.152.218:35516
• {BLOCKED}.{BLOCKED}.71.249:35516
• {BLOCKED}.{BLOCKED}.60.108:35516
• {BLOCKED}.{BLOCKED}.123.153:35516
• {BLOCKED}.{BLOCKED}.132.25:35516
• {BLOCKED}.{BLOCKED}.183.224:35516
• {BLOCKED}.{BLOCKED}.204.90:80
• {BLOCKED}biok.info
• {BLOCKED}c.com
• {BLOCKED}kv.com
• {BLOCKED}tss.info
• {BLOCKED}ifhrf.net
• {BLOCKED}kowab.ru
• {BLOCKED}elertiong.com
• {BLOCKED}xw.ru
• {BLOCKED}naf.ru
• {BLOCKED}ppsfm.org
• {BLOCKED}r.info
• {BLOCKED}j.info
• {BLOCKED}bkxfn.biz
• {BLOCKED}hpte.com
• {BLOCKED}e.ru
• {BLOCKED}fbxrzn.com
• {BLOCKED}etobob.biz
• {BLOCKED}mullpy.info
• {BLOCKED}th.info
• {BLOCKED}medescriptor.com
• {BLOCKED}sncki.info
• {BLOCKED}hyjku.net
• {BLOCKED}mpyzh.net
• {BLOCKED}hez.com
• {BLOCKED}knddy.com
• {BLOCKED}vaweonearch.com
• {BLOCKED}qyhqtb.org
• {BLOCKED}gnfvhz.ru
• {BLOCKED}l.ru
• {BLOCKED}cut.biz
• {BLOCKED}pq.info
• {BLOCKED}eucnd.biz
• {BLOCKED}o.net
• {BLOCKED}ront.net
• {BLOCKED}rando.com
• {BLOCKED}minestar.org
• {BLOCKED}sysho.com
• {BLOCKED}niolosto.com
• {BLOCKED}usiceditior.com

ウイルスが感染したコンピュータのMBRに感染して、実行する活動は、以下のとおりです。

• さまざまなセキュリティソフトの終了
• ブラウザにコードを組み込み、暗号化されたファイルのダウンロード
• コンピュータを起動する度に「PE_XPAJ.C-O」を自動で読み込み

ウイルスは、複数の暗号化された複数のファイルをダウンロードします。ウイルスは、ダウンロードしたファイルを以下のように保存します。解析中、少なくとも9つの暗号化されたファイルがダウンロードされました。これらのファイルは、ファイルへや「マスター・ブート・レコード（MBR）」への感染活動を行います。

• %Windows%\＜ランダムなファイル名＞.＜ランダムな3文字＞

ウイルスは、「Domain Generation Algorithm (DGA)」と呼ばれるドメイン生成の手法を用いて197のWebサイトを作成し、アクセスします。

ウイルスは、Windowsにおける64ビットのバージョンでも実行します。

ウイルスは、メインとなるマルウェアコードの実行する数は、1日において固有の感染ファイルにつき、１つだけを維持します。

変更されたMBRは、以下として検出されます。

• BOOT_XPAJ.SM