Virus.Win32.CHIR.B-O

ウイルスは、他のマルウェアに作成され、コンピュータに侵入します。

ウイルスは、対象とするファイルの末尾に自身のコードを追加して感染活動を行います。 ウイルスは、上記ファイルにコードを挿入し、特定のファイル形式に感染します。

ウイルスは、Windows のアドレス帳（WABファイル）から特定のＥメールアドレスを収集します。

侵入方法

ウイルスは、以下のマルウェアに作成され、コンピュータに侵入します。

• PE_CHIR.B

インストール

ウイルスは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%\runouce.exe

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

ウイルスは、以下のプロセスを追加します。

• {Malware Path}\{Malware Filename}.exe

ウイルスは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• ChineseHacker-2

自動実行方法

ウイルスは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Runonce = "%System%\runouce.exe"

ファイル感染

ウイルスは、対象とするファイルの末尾に自身のコードを追加して感染活動を行います。

ウイルスは、上記のファイルにコードを挿入し、以下の拡張子を持つファイルに感染します。

• .EXE
• .SCR
• .HTM
• .HTML

感染活動

ウイルスは、WABから特定のＥメールアドレスを収集します。

ウイルスは、以下のソフトウェアに存在する未公開の脆弱性を利用して感染活動します。これにより、ユーザがＥメールメッセージを閲覧した際に添付ファイルが自動的に実行されます。

• MS01-020 - Incorrect MIME Header Can Cause IE to Execute E-mail Attachment

その他

ウイルスは、以下を実行します。

• Infected .EXE or .SCR files are detected as PE_CHIR.B.
• This file infector drops the following file on the folder location of the infected .HTM or .HTML file:
  
  • readme.eml - detected as HTML_IFRAME.DY
• It infects .HTM or .HTML by inserting a code that automatically executes the dropped README.EML when accessed. The infected .HTM or .HTML is detected as JS_NIMDA.A-1.
• It uses the following Simple Mail Transfer Protocol (SMTP) server:
  
  • {BLOCKED}.net.cn
• It uses it own Simple Mail Transfer Protocol (SMTP) engine to mass-mail messages with a copy of itself as an attachment. The email message contains the following details:
  TO: {Receipients Email Address}
  FROM: imissyou@{BLOCKED}.net.cn
  SUBJECT: {hostname} is comming!
  Attachment: pp.exe