ADW_NEXTLIVE

アドウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 アドウェアは、他のマルウェアまたはグレイウェアのパッケージとともにコンポーネントとして、コンピュータに侵入します。

アドウェアは、ワーム活動の機能を備えていません。

アドウェアは、バックドア活動の機能を備えていません。

アドウェアが自身の不正活動を実行するためには、メインとなるコンポーネントが必要になります。

侵入方法

アドウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

アドウェアは、他のマルウェアまたはグレイウェアのパッケージとともにコンポーネントとして、コンピュータに侵入します。

インストール

アドウェアは、以下のコンポーネントファイルを作成します。

• %Application Data%\newnext.me\nengine.cookie
• %Application Data%\newnext.me\nengine.cookie-journal - (delete afterwards)
• %Application Data%\newnext.me\log\nengine{YEAR}{MONTH}{DATE}_{random}.log
• %Application Data%\newnext.me\cache\id.txt

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

アドウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\newnext.me\nengine.dll

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

アドウェアは、以下のフォルダを作成します。

• %Application Data%\newnext.me
• %Application Data%\newnext.me\cache

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

アドウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\{CLSID}

自動実行方法

アドウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
NextLive = "%System%\rundll32.exe "%Application Data%\newnext.me\nengine.dll",EntryPoint -m l"

感染活動

アドウェアは、ワーム活動の機能を備えていません。

バックドア活動

アドウェアは、バックドア活動の機能を備えていません。

ダウンロード活動

アドウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %Application Data%\newnext.me\cache\spark.bin

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

その他

アドウェアが自身の不正活動を実行するためには、メインとなるコンポーネントが必要になります。

アドウェアは、脆弱性を利用した感染活動を行いません。

アドウェアは、ルートキット機能を備えていません。

アドウェアが作成するコンポーネントファイルは以下のとおりです。このファイルはその後削除されます。

• %Application Data%\newnext.me\nengine.cookie-journal

アドウェアは、自身のコピーの更新版をダウンロードします。

アドウェアは、自身をコンピュータにインストールするために、以下のパラメータを必要とします。
-m i
-m l
-m r
-m t

アドウェアは、以下の情報を収集します。

• アドウェアのバージョン
• IPアドレス
• レジスタ領域

アドウェアは、収集した情報を以下のWebサイトに送信します。

• http://＜省略＞t.＜省略＞t.me/register.php?ver=＜文字列1＞&hardcode=＜文字列2＞&partner=＜文字列3＞

インストール後、アドウェアは、以下のメッセージを表示します。