JAVA_ARCAL.A

マルウェアは、Webサイトに組み込まれており、ユーザがアクセスすると実行されます。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、バックドア活動の機能を備えていません。

マルウェアは、ダウンロードしたファイルを実行します。

マルウェアは、情報収集する機能を備えていません。

侵入方法

マルウェアは、Webサイトに組み込まれており、ユーザがアクセスすると実行されます。

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、バックドア活動の機能を備えていません。

ダウンロード活動

マルウェアは、以下のソフトウェアに存在する脆弱性を利用して感染活動をします。これにより、不正ファイルがダウンロードされます。

• CVE-2012-0507

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Profile%\awt43abr.exe
• %User Profile%\berstrestvers.exe
• %User Profile%\bawt34tv.exe
• %User Profile%\tab4vrtve.exe
• %User Profile%\wgsdgsdgdsgsd.exe
• %User Profile%\ab43yctewatv.exe
• %User Profile%\a43vtzgbdgv.exe
• %User Profile%\atv4tvq34.exe
• %User Profile%\bg34dfbewgba4.exe
• %User Profile%\av4a43by4ayb.exe

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。)

マルウェアは、ダウンロードしたファイルを実行します。

マルウェアは、特定のWebサイトから不正なファイルをダウンロードします。マルウェアがアクセスするWebサイトは、このマルウェアのコンポーネントから取得する以下のパラメータにより決まります。

• val
• prime

情報漏えい

マルウェアは、情報収集する機能を備えていません。

その他

マルウェアは、以下のコマンドを利用してダウンロードしたファイルを実行します。

• regsvr32 -s %User Profile%\{file name}.exe
• %User Profile%\{file name}.exe

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。)

マルウェアがダウンロードするファイルは、「TSPY_FAREIT.MEX」として検出されます。

マルウェアは、以下のサイトに組み込まれている可能性があります。

• http://＜省略＞removalonly.org/closest/＜ランダムな値＞.php
• http://＜省略＞owinggopayment.net/closest/＜ランダムな値＞.php
• http://＜省略＞selse.org/closest/＜ランダムな値＞.php

マルウェアは、ルートキット機能を備えていません。