PE_XPAJ.C-2
Virus:Win32/Xpaj.B (Microsoft), W32/Xpaj.c (McAfee), W32.Xpaj.B (Symantec)
Windows 2000, Windows, XP, Windows Server 2003
- マルウェアタイプ: ファイル感染型
- 破壊活動の有無: なし
- 暗号化:
- 感染報告の有無: はい
概要
ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
ウイルスは、上記ファイルにコードを挿入し、特定のファイル形式に感染します。 ウイルスは、感染したコンピュータの「マスター・ブート・レコード（MBR）」に感染します。
詳細
侵入方法
ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
インストール
ウイルスは、以下のファイルを作成します。
- %Windows%\{random file name}.{random 3 letters} - minimum of 9 files
(註：%Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。)
ファイル感染
ウイルスは、上記のファイルにコードを挿入し、以下の拡張子を持つファイルに感染します。
- SCR
- SYS
- DLL
- EXE
ウイルスは、感染したコンピュータのMBRに感染して、以下の活動を実行します。
- to automatically load PE_XPAJ.C-O every time the system boots.
- to terminate several AV processes
- inject code to browser to download encrypted files
プロセスの終了
ウイルスは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。
- avp.exe
- avgnt.exe
- avguard.exe
- sched.exe
- avastui.exe
- ccsvchst.exe
- avgcsrvx.exe
- avgnsx.exe
- avgrsx.exe
- avgtray.exe
- avgwdsvc.exe
- egui.exe
その他
ウイルスは、以下のWebサイトにアクセスしてインターネット接続を確認します。
- microsoft.com
ウイルスは、以下の不正なWebサイトにアクセスします。
- {BLOCKED}8.{BLOCKED}.162.208
- {BLOCKED}9.{BLOCKED}0.152.218
- {BLOCKED}7.{BLOCKED}4.71.249
- {BLOCKED}3.{BLOCKED}1.60.108
- {BLOCKED}1.{BLOCKED}4.123.153
- {BLOCKED}6.{BLOCKED}6.132.25
- {BLOCKED}3.{BLOCKED}4.183.224
- {BLOCKED}5.{BLOCKED}6.204.90
- {BLOCKED}iok.info
- {BLOCKED}c.com
- {BLOCKED}v.com
- {BLOCKED}ss.info
- {BLOCKED}fhrf.net
- {BLOCKED}owab.ru
- {BLOCKED}lertiong.com
- {BLOCKED}ndraeffect.com
- {BLOCKED}w.ru
- {BLOCKED}af.ru
- {BLOCKED}psfm.org
- {BLOCKED}r.info
- {BLOCKED}kxfn.biz
- {BLOCKED}pte.com
- {BLOCKED}e.ru
- {BLOCKED}bxrzn.com
- {BLOCKED}tobob.biz
- {BLOCKED}ullpy.info
- {BLOCKED}h.info
- {BLOCKED}edescriptor.com
- {BLOCKED}ncki.info
- {BLOCKED}yjku.net
- {BLOCKED}pyzh.net
- {BLOCKED}ez.com
- {BLOCKED}nddy.com
- {BLOCKED}aweonearch.com
- {BLOCKED}yhqtb.org
- {BLOCKED}nfvhz.ru
- {BLOCKED}l.ru
- {BLOCKED}ut.biz
- {BLOCKED}q.info
- {BLOCKED}ucnd.biz
- {BLOCKED}o.net
- {BLOCKED}ont.net
- {BLOCKED}ando.com
- {BLOCKED}inestar.org
- {BLOCKED}ysho.com
- {BLOCKED}iolosto.com
- {BLOCKED}siceditior.com
ウイルスは、複数の暗号化されたファイルをダウンロードします。ウイルスは、ダウンロードされたファイルを以下のように保存します。
- %Windows%\＜ランダムなファイル名＞.＜ランダムな3文字＞
また、ウイルスは、「Domain Generation Algorithm（DGA）」により197のURLを生成します。
改変されたMBRは、トレンドマイクロでは「BOOT_XPAJ.SM」として検出されます。
ウイルスが、感染したコンピュータのMBRに感染して実行する活動は、以下のとおりです。
- コンピュータが起動する毎に、自動で「PE_XPAJ.C-O」を読み込む
- 複数のセキュリティソフト関連のプロセスの終了
- ブラウザにコードを挿入し、暗号化されたファイルをダウンロード
対応方法
手順 1
Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 2
「PE_XPAJ.C-2」で検出したファイル名を確認し、そのファイルを終了します。
- すべての実行中プロセスが、Windows のタスクマネージャに表示されない場合があります。この場合、"Process Explorer" などのツールを使用しマルウェアのファイルを終了してください。"Process Explorer" については、こちらをご参照下さい。
- 検出ファイルが、Windows のタスクマネージャまたは "Process Explorer" に表示されるものの、削除できない場合があります。この場合、コンピュータをセーフモードで再起動してください。
セーフモードについては、こちらをご参照下さい。 - 検出ファイルがタスクマネージャ上で表示されない場合、次の手順にお進みください。
手順 3
最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「PE_XPAJ.C-2」と検出したファイルの駆除を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
手順 4
以下のファイルを検索し削除します。
- %Windows%\{random file name}.{random 3 letters}
手順 5
Master Boot Record（MBR）を修復します。
Master Boot Record（MBR）の修復：
• Windows 2000、XP および Server 2003 の場合
- 最新のバージョン（エンジン、パターンファイル）を導入したセキュリティ対策製品を用いてウイルス検索を実行してください。検出したパス名およびファイル名を確認し、メモ等をとってください。
- Windows のインストール CD を使用して、コンピュータを再起動します。
- [セットアップへようこそ] 画面で、修復の R キーを押します。
（註： Windows 2000 の場合、R キーを入力後 C キーを入力し、[修復オプション]から[回復コンソール]を選択します。） - 修復する Windows がインストールされているドライブを選択します（通常は "1" を選択します）。.
- 管理者のパスワードを入力し、Enter を押します。管理者パスワードがない場合は、何も入力せずに Enter を押します。
- コマンドプロンプトに、上記で確認したマルウェアが検出されたドライブ名を入力します。
- 以下のコマンドを入力し、Enter を押します。
fixmbr ＜感染したドライブ＞ - コマンドプロンプトに exit と入力し、コンピュータを通常どおり再起動してください。
※"fixmbr" と "＜感染したドライブ＞" の間に半角スペースを入れてください。
※"＜感染したドライブ＞" とは、このマルウェアが感染したブータブル・ドライブのことです。ドライブが特定できない場合、プライマリ・ブート・ドライブにあるマスター・ブート・レコードが上書きされている可能性があります。
• Windows Vista および 7 の場合
- 最新のバージョン（エンジン、パターンファイル）を導入したセキュリティ対策製品を用いてウイルス検索を実行し、検出したマルウェアのパス名およびファイル名を確認し、メモ等をとってください。
- Windows のインストール DVD を使用して、コンピュータを再起動します。
- 再起動するかどうかの確認画面が表示されたら、いずれかのキーを入力し、表示される指示に従います。
- Windows のインストール DVD によっては、インストールする言語の選択が必要になる場合があります。 Windows のインストール画面で、言語、ロケール情報およびキーボードの種類と入力方法を選択します。[コンピュータを修復する]をクリックします。
- [Windows の起動に伴う問題の修復用の回復ツールを使用します。]を選択します。オペレーティングシステム（OS）を選択し、[次へ]をクリックします。
- [スタートアップ修復]画面が表示された場合、[キャンセル]-[はい]-[完了]をクリックします。
- [システム回復オプション]メニューで、[コマンドプロンプト]をクリックします。
- 以下のコマンドを入力し、Enter を押します。
BoorRec.exe /fixmbr - コマンドプロンプトに exit と入力し、Enter を押して、コマンドプロンプト画面を閉じてください。
- [再起動]をクリックし、コンピュータを通常どおり再起動してください。
手順 6
最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「PE_XPAJ.C-2」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
ご利用はいかがでしたか？ アンケートにご協力ください