• Email
• Facebook
• Twitter
• Google+
• Linkedin

PE_VIRUX.Q

---

• マルウェアタイプ: ファイル感染型
• 破壊活動の有無: なし
• 暗号化: はい
• 感染報告の有無: はい

---

  概要

ウイルスは、他のマルウェアに作成され、コンピュータに侵入します。 ウイルスは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

---

  詳細

侵入方法

ウイルスは、他のマルウェアに作成され、コンピュータに侵入します。

ウイルスは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

インストール

ウイルスは、以下の通常のプロセスにスレッドを組み込みます。

• WINLOGON.EXE

他のシステム変更

ウイルスは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\DomainProfile\AuthorizedApplications\
List
\??\%System%\winlogon.exe = \??\%System\winlogon.exe:*:enabled:@shell32.dll,-1

ファイル感染

ウイルスは、以下の形式のファイルに感染します。

• EXE
• SCR

ウイルスは、ファイル名に以下の文字列を含むファイルには感染しません。

• OTSP
• WC32
• WCUN
• WINC

バックドア活動

ウイルスは、以下のいずれかのIRCサーバに接続します。

• ilo.{BLOCKED}z.pl
• ant.{BLOCKED}z.pl

HOSTSファイルの改変

ウイルスは、WindowsのHOSTSファイルに以下の文字列を追加します。

• 127.0.0.1 www.{BLOCKED}z.pl

その他

このウイルスのコードから、ウイルスは、以下の機能を備えています。

• It hooks the following APIs so that when these APIs are called, the virus code is executed which then infect files:
  
  • NtCreateFile
  • NtOpenFile
  • NtCreateProcess
  • NtCreateProcessEx
  • NtQueryInformationProcess
• It does not infect files with the following characteristics:
  
  • .DLL files
  • PE Files with _win section name
  • Files with infection marker
• It also infects script files by first checking if the target script file's extension name is any of the following:
  
  • .ASP
  • .HTM
  • .PHP
• Once it finds the targeted script files, it creates a flag for the file for IFRAME infection. It opens the flagged files then checks for a certain string in the file. If it finds that string, it skips the file. If not, it proceeds with the infection of the file. It then looks for the string < /BODY > in the target script file. Once found, it infects script files by inserting the malicious IFRAME code below:
  • 
• It returns execution to the host file's original code after execution.
• It connects to the mentioned servers using eight randomly-generated character for its NICK and one randomly-generated character for its USER. Once connected to the IRC server, it joins a certain channel to receive and execute commands on the affected system.
• As of this writing, no reply has been received from the servers.
• Infected script files are detected as HTML_IFRAME.SMDS.

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください