TROJ_KATUSHA.K

マルウェアは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。 マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

マルウェアは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。

マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

マルウェアは、以下のリモートサイトからダウンロードされコンピュータに侵入します。

• http://yourtube.{BLOCKED}loring.com/video2/video.php?q=1289224873

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{Malware name} = {Malware path and name}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\RunServices
{Malware name} = {Malware path and name}

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
MediaPlayer\Setup\Files

ダウンロード活動

ただし、情報公開日現在、このWebサイトにはアクセスできません。

その他

このマルウェアのコードから、マルウェアは、以下の機能を備えています。

• Drops 6 copies of itself, one copy each in the random folders found in %Program Files%. The file name used is based on a file found inside the folder where a copy is to be dropped.

(註：%Program Files%は、標準設定では "C:\Program Files" です。)

マルウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• http://yahoo.com
• http://msn.com
• http://google.com

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}.asia/httpss/v=%7brandom numbers}&step={random numbers}&hostid={random numbers}
• http:/{BLOCKED}-foryou.com/httpss/v={random numbers}&step={random numbers}&hostid={random numbers}

偽セキュリティソフト型不正プログラムによる不正活動

マルウェアは、以下の偽の警告を表示します。

• Your computer is being used as spamming machine. You can get sued for spam.
• Your computer WILL BE DISCONNECTED FORM INTERNET BECAUSE SPAMMING OTHER PCs.
• Your computer might be at risk
• No firewall is turned on
• Automatic Updates is turned off
• Antivirus software might not be activated
• Click this balloon to fix this problem.