TROJ_CUTWAIL.JNE

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Profile%\xanacnuonixa.exe

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
xanacnuonixa = "%User Profile%\xanacnuonixa.exe"

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion
AppManagement = "{hex value}"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion
xanacnuonixazap = "{hex value}"

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}hotel.is
• http://{BLOCKED}o.com
• http://{BLOCKED}g.com
• http://{BLOCKED}umich.org
• http://{BLOCKED}f.com.au
• http://{BLOCKED}ylabs.com
• http://{BLOCKED}man.net
• http://{BLOCKED}rea.com
• http://{BLOCKED}f.de
• http://{BLOCKED}-lit.com
• http://{BLOCKED}om.ru
• http://{BLOCKED}ijya.com
• http://{BLOCKED}s-dek.com
• http://{BLOCKED}debt.net
• http://{BLOCKED}ko.ru
• http://{BLOCKED}if.com
• http://{BLOCKED}iteaz.com
• http://{BLOCKED}uval.es
• http://{BLOCKED}inne.ro
• http://{BLOCKED}tains.org
• http://{BLOCKED}dai.com
• http://{BLOCKED}re.com
• http://{BLOCKED}jp.com
• http://{BLOCKED}amhop.com
• http://{BLOCKED}.cz
• http://{BLOCKED}s.com.au
• http://{BLOCKED}ets.com
• http://{BLOCKED}tz.org
• http://{BLOCKED}igal.com
• http://{BLOCKED}page.com
• http://{BLOCKED}dra.co.za
• http://{BLOCKED}ih.com.tr
• http://{BLOCKED}m30ty.com
• http://{BLOCKED}fprop.com
• http://{BLOCKED}akume.com
• http://{BLOCKED}mail.com
• http://{BLOCKED}feter.com
• http://{BLOCKED}inc.com
• http://{BLOCKED}se.ch
• http://{BLOCKED}j.org
• http://{BLOCKED}com.it
• http://{BLOCKED}ed.org
• http://{BLOCKED}orhard.pt
• http://{BLOCKED}erdisc.de
• http://{BLOCKED}sabia.com
• http://{BLOCKED}ome.net
• http://{BLOCKED}ogaku.com
• http://{BLOCKED}osin.com
• http://{BLOCKED}icr.com
• http://{BLOCKED}2.com
• http://{BLOCKED}vtam.com
• http://{BLOCKED}tron.com
• http://{BLOCKED}iatan.pl
• http://{BLOCKED}a.org.au
• http://{BLOCKED}com.pt
• http://{BLOCKED}kom.pl
• http://{BLOCKED}swim.com
• http://{BLOCKED}iates.com
• http://{BLOCKED}fa.pt
• http://{BLOCKED}l.co.uk
• http://{BLOCKED}teux.fr
• http://{BLOCKED}ic.us
• http://{BLOCKED}-rlm.com
• http://{BLOCKED}l.cc
• http://{BLOCKED}die.com
• http://{BLOCKED}iko7.com
• http://{BLOCKED}olice.org
• http://{BLOCKED}etals.com
• http://{BLOCKED}hodo.net
• http://{BLOCKED}kranj.com
• http://{BLOCKED}si.net
• http://{BLOCKED}i.net
• http://{BLOCKED}s.org
• http://{BLOCKED}c.com
• http://{BLOCKED}eton.cz
• http://{BLOCKED}ieserl.de
• http://{BLOCKED}lf.org
• http://{BLOCKED}nema.com
• http://{BLOCKED}at.de
• http://{BLOCKED}owest.com
• http://{BLOCKED}men.co.jp
• http://{BLOCKED}rmedia.pl
• http://{BLOCKED}ic.co.uk
• http://{BLOCKED}ara.net
• http://{BLOCKED}lys.com
• http://{BLOCKED}sindia.in
• http://{BLOCKED}inex.hu
• http://{BLOCKED}don.com
• http://{BLOCKED}arc.com
• http://{BLOCKED}mel.net
• http://{BLOCKED}.com
• http://{BLOCKED}.org.uk
• http://{BLOCKED}tea.ru
• http://{BLOCKED}ion.com