ユーザー向け情報

マイライブラリ

+ マイライブラリに追加

検索

テクニカルサポート利用方法

問い合わせ

新規お問い合わせ

電話

フォーラム（英語）

お問い合わせ履歴

すべて: -
対応中: -
最終更新: -

新規お問い合わせ

電話

JP

RU CN DE EN ES FR IT JP KZ UZ PL BY ID

サービス

スキャナー

Dr.Web vxCube

トライアル

Dr.Web vxCubeにログオン

ウイルスライブラリ

ウイルス検索

ナレッジベース

テクノロジー

用語

トレーニングコースおよび啓蒙プロジェクト

アンチウイルスに関する誤解と噂

アンチウイルスに関する誤解

ニュース

Win32.Expiro.136

Added to the Dr.Web virus database: 2017-10-20

Virus description added: 2019-11-03

Technical Information

To ensure autorun and distribution

Creates the following services

[<HKLM>\System\CurrentControlSet\Services\AdobeARMservice] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\AdobeFlashPlayerUpdateSvc] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\clr_optimization_v2.0.50727_32] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\clr_optimization_v2.0.50727_64] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\clr_optimization_v4.0.30319_32] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\clr_optimization_v4.0.30319_64] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\COMSysApp] 'Start' = '00000002'

Changes the following executable system files

%WINDIR%\syswow64\macromed\flash\flashplayerupdateservice.exe
<SYSTEM32>\alg.exe
%WINDIR%\syswow64\svchost.exe
%WINDIR%\microsoft.net\framework\v2.0.50727\mscorsvw.exe
%WINDIR%\microsoft.net\framework64\v2.0.50727\mscorsvw.exe
%WINDIR%\microsoft.net\framework\v4.0.30319\mscorsvw.exe
%WINDIR%\microsoft.net\framework64\v4.0.30319\mscorsvw.exe
%WINDIR%\syswow64\dllhost.exe
<SYSTEM32>\dllhost.exe
%WINDIR%\ehome\ehrecvr.exe
%WINDIR%\ehome\ehsched.exe
<SYSTEM32>\fxssvc.exe

Infects the following executable files

%CommonProgramFiles(x86)%\adobe\arm\1.0\armsvc.exe
%WINDIR%\syswow64\macromed\flash\flashplayerupdateservice.exe
<SYSTEM32>\alg.exe
%WINDIR%\syswow64\svchost.exe
%WINDIR%\microsoft.net\framework\v2.0.50727\mscorsvw.exe
%WINDIR%\microsoft.net\framework64\v2.0.50727\mscorsvw.exe
%WINDIR%\microsoft.net\framework\v4.0.30319\mscorsvw.exe
%WINDIR%\microsoft.net\framework64\v4.0.30319\mscorsvw.exe
%WINDIR%\syswow64\dllhost.exe
<SYSTEM32>\dllhost.exe
%WINDIR%\ehome\ehrecvr.exe
%WINDIR%\ehome\ehsched.exe
<SYSTEM32>\fxssvc.exe
%ProgramFiles(x86)%\google\update\googleupdate.exe

Modifies file system

Creates the following files

%CommonProgramFiles(x86)%\adobe\arm\1.0\fpgonfii.tmp
%WINDIR%\syswow64\macromed\flash\hchlfhej.tmp
<SYSTEM32>\fohidmai.tmp
%WINDIR%\syswow64\fcemfdbl.tmp
%WINDIR%\microsoft.net\framework\v2.0.50727\eolkbnnc.tmp
%WINDIR%\microsoft.net\framework64\v2.0.50727\gfghpgab.tmp
%WINDIR%\microsoft.net\framework\v4.0.30319\bcmbbkcb.tmp
%WINDIR%\microsoft.net\framework\v4.0.30319\ecmhnlqh.tmp
%WINDIR%\microsoft.net\framework64\v4.0.30319\ojjajkec.tmp
%WINDIR%\microsoft.net\framework64\v4.0.30319\cpcmmcgm.tmp
%WINDIR%\syswow64\inmapejl.tmp
<SYSTEM32>\lkdkjbol.tmp
%WINDIR%\ehome\labpjimj.tmp
%WINDIR%\ehome\ikepldag.tmp
<SYSTEM32>\lpcgliaj.tmp
%ProgramFiles(x86)%\google\update\pbafkbfd.tmp

Deletes the following files

%CommonProgramFiles(x86)%\adobe\arm\1.0\fpgonfii.tmp
%WINDIR%\syswow64\macromed\flash\hchlfhej.tmp
<SYSTEM32>\fohidmai.tmp
%WINDIR%\syswow64\fcemfdbl.tmp
%WINDIR%\microsoft.net\framework\v2.0.50727\eolkbnnc.tmp
%WINDIR%\microsoft.net\framework64\v2.0.50727\gfghpgab.tmp
%WINDIR%\microsoft.net\framework\v4.0.30319\bcmbbkcb.tmp
%WINDIR%\microsoft.net\framework\v4.0.30319\ecmhnlqh.tmp
%WINDIR%\microsoft.net\framework64\v4.0.30319\ojjajkec.tmp
%WINDIR%\microsoft.net\framework64\v4.0.30319\cpcmmcgm.tmp
%WINDIR%\syswow64\inmapejl.tmp
<SYSTEM32>\lkdkjbol.tmp
%WINDIR%\ehome\labpjimj.tmp
%WINDIR%\ehome\ikepldag.tmp
<SYSTEM32>\lpcgliaj.tmp
%ProgramFiles(x86)%\google\update\pbafkbfd.tmp

Miscellaneous

Executes the following

'%WINDIR%\syswow64\macromed\flash\flashplayerupdateservice.exe'