PE_XPAJ.C-2

ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ウイルスは、上記ファイルにコードを挿入し、特定のファイル形式に感染します。 ウイルスは、感染したコンピュータの「マスター・ブート・レコード（MBR）」に感染します。

侵入方法

ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ウイルスは、以下のファイルを作成します。

• %Windows%\{random file name}.{random 3 letters} - minimum of 9 files

(註：%Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。)

ファイル感染

ウイルスは、上記のファイルにコードを挿入し、以下の拡張子を持つファイルに感染します。

• SCR
• SYS
• DLL
• EXE

ウイルスは、感染したコンピュータのMBRに感染して、以下の活動を実行します。

• to automatically load PE_XPAJ.C-O every time the system boots.
• to terminate several AV processes
• inject code to browser to download encrypted files

プロセスの終了

ウイルスは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• avp.exe
• avgnt.exe
• avguard.exe
• sched.exe
• avastui.exe
• ccsvchst.exe
• avgcsrvx.exe
• avgnsx.exe
• avgrsx.exe
• avgtray.exe
• avgwdsvc.exe
• egui.exe

その他

ウイルスは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• microsoft.com

ウイルスは、以下の不正なWebサイトにアクセスします。

• {BLOCKED}8.{BLOCKED}.162.208
• {BLOCKED}9.{BLOCKED}0.152.218
• {BLOCKED}7.{BLOCKED}4.71.249
• {BLOCKED}3.{BLOCKED}1.60.108
• {BLOCKED}1.{BLOCKED}4.123.153
• {BLOCKED}6.{BLOCKED}6.132.25
• {BLOCKED}3.{BLOCKED}4.183.224
• {BLOCKED}5.{BLOCKED}6.204.90
• {BLOCKED}iok.info
• {BLOCKED}c.com
• {BLOCKED}v.com
• {BLOCKED}ss.info
• {BLOCKED}fhrf.net
• {BLOCKED}owab.ru
• {BLOCKED}lertiong.com
• {BLOCKED}ndraeffect.com
• {BLOCKED}w.ru
• {BLOCKED}af.ru
• {BLOCKED}psfm.org
• {BLOCKED}r.info
• {BLOCKED}kxfn.biz
• {BLOCKED}pte.com
• {BLOCKED}e.ru
• {BLOCKED}bxrzn.com
• {BLOCKED}tobob.biz
• {BLOCKED}ullpy.info
• {BLOCKED}h.info
• {BLOCKED}edescriptor.com
• {BLOCKED}ncki.info
• {BLOCKED}yjku.net
• {BLOCKED}pyzh.net
• {BLOCKED}ez.com
• {BLOCKED}nddy.com
• {BLOCKED}aweonearch.com
• {BLOCKED}yhqtb.org
• {BLOCKED}nfvhz.ru
• {BLOCKED}l.ru
• {BLOCKED}ut.biz
• {BLOCKED}q.info
• {BLOCKED}ucnd.biz
• {BLOCKED}o.net
• {BLOCKED}ont.net
• {BLOCKED}ando.com
• {BLOCKED}inestar.org
• {BLOCKED}ysho.com
• {BLOCKED}iolosto.com
• {BLOCKED}siceditior.com

ウイルスは、複数の暗号化されたファイルをダウンロードします。ウイルスは、ダウンロードされたファイルを以下のように保存します。

• %Windows%\＜ランダムなファイル名＞.＜ランダムな3文字＞

また、ウイルスは、「Domain Generation Algorithm（DGA）」により197のURLを生成します。

改変されたMBRは、トレンドマイクロでは「BOOT_XPAJ.SM」として検出されます。

ウイルスが、感染したコンピュータのMBRに感染して実行する活動は、以下のとおりです。

• コンピュータが起動する毎に、自動で「PE_XPAJ.C-O」を読み込む
• 複数のセキュリティソフト関連のプロセスの終了
• ブラウザにコードを挿入し、暗号化されたファイルをダウンロード