・実行時、以下のレジストリ項目が乗っ取ったシステムに追加されます。
- HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{C34E57C2-3471-4566-8969-266410125902}
- HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{C34E57C2-3471-4566-8969-266410125902}\InprocServer32
- HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{C34E57C2-3471-4566-8969-266410125902}\ProgID
- HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Qxavfztg
- HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Qxavfztg\CLSID
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{C34E57C2-3471-4566-8969-266410125902}
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\net
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\htfiabhy
- HKEY_LOCAL_MACHINE\SOFTWARE\xpreapp
・以下のファイルがシステムに追加されます。
- %SysDir%\net.net
- %SysDir%\fpjgxcl.dll [Boaxxeという名前で検出]
- %SysDir%\munuvof.dll
- %Temp%Temp\xvsp.tmp\svchost.exe [Boaxxe.drという名前で検出]
- %WinDir%\Tasks\At1.job
- %WinDir%\run.log
・上記のダウンロードされたファイルのうち、「At1.job」は、Boaxxeという名前で検出される「fpjgxcl.dll」ファイルを実行するタスクのスケジュールを設定することにより、ファイルを実行します。
・このジョブファイルは、システムの乗っ取り後の毎週月、火、水、木、金、土、日曜日の午前5時にソースファイルを実行するようスケジュールされています。
・以下のレジストリ項目がシステムに追加されます。
- HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{C34E57C2-3471-4566-8969-266410125902}\ProgID\: "Qxavfztg"
- HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{C34E57C2-3471-4566-8969-266410125902}\InprocServer32\: "%SysDir%\fpjgxcl.dll"
- HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Qxavfztg\CLSID\: "{C34E57C2-3471-4566-8969-266410125902}"
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\xmeluaro\Parameters\ServiceDll: "%SysDir%\fpjgxcl.dll"
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\xmeluaro\ImagePath: "%SystemRoot%\System32\svchost.exe -k netsvcs"
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\xmeluaro\Description: "Support for Microsoft USB Universal Host Controller Miniport"
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\xmeluaro\DisplayName: "Microsoft USB Universal Host Controller Miniport Support"
・Vilsel.gen.fが実行されると、以下のリモートサイトに接続し、悪質なコンテンツをダウンロードします。
- http://fc.web[削除]pro.com、リモートポート80を使用
- 94.228.[削除].143、リモートポート443を使用
- http://kz[削除].net、リモートポート80を使用
・以下のレジストリ項目により、システムの復元を無効にします。
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRestore\DisableSR: 0x00000001
・以下は一般的なパス変数の既定値です。（異なる場合もありますが、一般的には以下のとおりです。）
%WinDir% = \WINDOWS (Windows 9x/ME/XP/Vista), \WINNT (Windows NT/2000) %SystemDir% = \WINDOWS\SYSTEM (Windows 98/ME), \WINDOWS\SYSTEM32 (Windows XP/Vista), \WINNT\SYSTEM32 (Windows NT/2000) %ProgramFiles% = \Program Files
