KATUSHA

「KATUSHA」ファミリのトロイの木馬型マルウェアは、通常、スパムメールに添付されるか、悪意あるWebサイトからユーザが誤ってダウンロードするファイルとしてコンピュータに侵入します。マルウェアは、他の不正なファイルをダウンロードおよび実行するために利用されます。

2010年には、IT関連の通知を装い、KATUSHAの亜種を添付ファイルとして含むスパムメールが拡散しました。また、サイバー犯罪者は、このマルウェアを利用し、ソーシャル・ネットワーキング・サービス（SNS）でありブログ用のプラットフォームである「Multiply」のユーザを狙った攻撃を仕掛けました。

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{malware name} = "{malware path}\{malware name}.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\RunServices
{malware name} = "{malware path}\{malware name}.exe"

他のシステム変更

マルウェアは、インストールの過程で、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
MediaPlayer\Setup\Files

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://http-{BLOCKED}ting.us/httpss/v={random numbers}&step={random numbers}&hostid={random numbers}
• http://domain-{BLOCKED}u.com/httpss/v={random numbers}&step={random numbers}&hostid={random numbers}
• http://website-{BLOCKED}b.us/httpss/v={random numbers}&step={random numbers}&hostid={random numbers}
• http://http{BLOCKED}ck.us/httpss/v={random numbers}&step={random numbers}&hostid={random numbers}
• http://http-{BLOCKED}p.co.cc/httpss/v={random numbers}&step={random numbers}&hostid={random numbers}