• Email
• Facebook
• Twitter
• Google+
• Linkedin

Virus.Win64.EXPIRO.AA

---

• マルウェアタイプ: ファイル感染型ウイルス
• 破壊活動の有無: なし
• 暗号化: はい
• 感染報告の有無: はい

---

  概要

ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ウイルスは、バックドア活動の機能を備えていません。

ウイルスは、感染コンピュータや感染ユーザから特定の情報を収集します。

---

  詳細

侵入方法

ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ウイルスは、以下のファイルを作成します。

• %AppDataLocal%\{random characters }\cmd.exe -> infected copy of legitimate %System%\cmd.exe
• {infected directory path}\{random characters}.tmp -> initial infected file, later replaces the host executable file contents and then deleted.
• %ProgramData%\{random characters }.dat
• %ProgramData%\{random characters }.nls

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

ウイルスは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Local\{random}

他のシステム変更

ウイルスは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Explorer\
User Shell Folders
Startup = %AppDataLocal%\{random characters}

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Shell Folders
Startup = %AppDataLocal%\{random characters}

ファイル感染

ウイルスは、以下の形式のファイルに感染します。

• .EXE

ウイルスは、ファイル名に以下の文字列を含むファイルには感染しません。

• rsvp.exe
• chrome.exe
• rundll32.exe
• consent.exe
• sppsvc.exe
• WerFault.exe

バックドア活動

ウイルスは、バックドア活動の機能を備えていません。

ルートキット機能

ウイルスは、ルートキット機能を備えていません。

プロセスの終了

ウイルスは、感染コンピュータ上で確認した以下のサービスを終了します。

• wscsvc
• WinDefend
• MsMpSvc
• NisSrv
• gupdate
• gupdatem
• wuauserv

情報漏えい

ウイルスは、以下の情報を収集します。

• OS Information
• Drive Information
• System Locale Language
• Processor Name and Description
• Baseboard SKU and Model
• DiskDrive Model and Size
• Computer System Product Information

情報収集

ウイルスは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://{BLOCKED}bykovfoqys.ws
• http://{BLOCKED}jixxu-pafkel
• http://{BLOCKED}ezed-picriv.ws
• http://{BLOCKED}ilixif.ws
• http://{BLOCKED}lraf-uxek.com
• http://{BLOCKED}humydoc.in
• http://{BLOCKED}amytavyx.ws
• http://{BLOCKED}fytipi.biz
• http://{BLOCKED}ovoxijyr.com
• http://{BLOCKED}kda-miw.biz
• http://{BLOCKED}sicpu.ru
• http://{BLOCKED}u-ozyh.in
• http://{BLOCKED}ade-ry.org
• http://{BLOCKED}ejudkyl.cc
• http://{BLOCKED}ahokadyp.in
• http://{BLOCKED}vy-aqaziq.org
• http://{BLOCKED}mehiqsixa.biz
• http://{BLOCKED}ovakyv.biz
• http://{BLOCKED}fxyzeca.biz
• http://{BLOCKED}wanysa.biz
• http://{BLOCKED}omo-beljum.ws
• http://{BLOCKED}hode.cc
• http://{BLOCKED}junedelqa.cc
• http://{BLOCKED}epma-jeh.com
• http://{BLOCKED}rifithal.in
• http://{BLOCKED}-boqmy.biz
• http://{BLOCKED}fabqajci.ru
• http://{BLOCKED}wetexdy.cc
• http://{BLOCKED}ery-ro.ru
• http://{BLOCKED}zumiwahod.com
• http://{BLOCKED}ykkodyky.ws
• http://{BLOCKED}hojavaze.com
• http://{BLOCKED}uvaponi.in
• http://{BLOCKED}acutebo.ws
• http://{BLOCKED}iwitucy.net
• http://{BLOCKED}ixjyfy.com
• http://{BLOCKED}ca-uci.ru
• http://{BLOCKED}ulivafe.com
• http://{BLOCKED}sobbe.ws
• http://{BLOCKED}ubucsasaw.biz
• http://{BLOCKED}b-efal.ru
• http://{BLOCKED}-bifik.com
• http://{BLOCKED}b-yjes.ru
• http://{BLOCKED}b-ohap.ru
• http://{BLOCKED}b-uluz.ru
• http://{BLOCKED}b-ekew.ru
• http://{BLOCKED}-copog.com
• http://{BLOCKED}b-ypud.ru
• http://{BLOCKED}b-urok.ru
• http://{BLOCKED}b-aquh.ru
• http://{BLOCKED}b-ivar.ru
• http://{BLOCKED}-betop.com
• http://{BLOCKED}b-oxyx.ru
• http://{BLOCKED}b-yxav.ru
• http://{BLOCKED}b-abif.ru
• http://{BLOCKED}b-ubyc.ru
• http://{BLOCKED}by-ezu.ru
• http://{BLOCKED}vvy-sihpy.ws
• http://{BLOCKED}ubiwezu.com
• http://{BLOCKED}a-xojfu.biz
• http://{BLOCKED}i-izy.org
• http://{BLOCKED}pi-ziboj.in
• http://{BLOCKED}olonkub.ru
• http://{BLOCKED}ylvos-hyqe.ws
• http://{BLOCKED}nixly-muro.cc
• http://{BLOCKED}usdi-ihyq.in
• http://{BLOCKED}ybavyxo.org
• http://{BLOCKED}odkitywuli.ws
• http://{BLOCKED}ewvupazah.ws
• http://{BLOCKED}owvusxuwlu.ws
• http://{BLOCKED}oqi-co.in
• http://{BLOCKED}a-ahusdyb.net
• http://{BLOCKED}beqfu-son.biz
• http://{BLOCKED}hynxavdu.net
• http://{BLOCKED}xjedkiciten.biz
• http://{BLOCKED}woxiqaf.ru
• http://{BLOCKED}ibliki.ru

その他

ウイルスは、以下を実行します。

• This infector infects the target files of shortcut files located in the following location(s):
  • %Programs%
  • %Desktop%
• Since the infector infects Startup programs, it also serves as its auto-start mechanism.
• It also searches all available drives for .EXE files that it will infect. In this way, the drives shared through network and removable drives will be infected. This also serves as its propagation method.

(註：%Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\Desktop" です。)

マルウェアは、脆弱性を利用した感染活動を行いません。

<補足>
インストール

ウイルスは、以下のファイルを作成します。

• %AppDataLocal%\{ランダムな文字}\cmd.exe → 正規％System％\ cmd.exeに感染した自身のコピー
• {感染したディレクトリパス}\{ランダムな文字}.tmp → 最初に感染したファイル。後にホストの実行可能ファイルの内容を置き換えて削除
• %ProgramData%\{ランダムな文字}.dat
• %ProgramData%\{ランダムな文字}.nls

情報漏えい

ウイルスは、以下の情報を収集します。

• オペレーティングシステム（OS）情報
• ドライブ情報
• システムロケール言語
• プロセッサ名および種類
• ベースボードSKUおよびモデル
• ディスクドライブのモデルおよびサイズ
• コンピュータシステムの製品情報

その他

ウイルスは、以下を実行します。

• ウイルスは、以下の場所に存在するショートカットファイルの標的にしたファイルに感染します。
  • %Programs%
  • %Desktop%
• ウイルスは、スタートアッププログラムに感染するため、自動実行方法としても機能します。
• ウイルスは、感染するための実行可能ファイルをすべての利用可能なドライブで検索します。このようにして、ネットワークを介して共有されているドライブとリムーバブルドライブが感染します。これは、拡散活動としても機能します。

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください