TROJ_CRYPWALL.D

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

身代金要求型マルウェア（ランサムウェア）「CRYPWALL」は、ストレージサービス「Dropbox」へのリンクからダウンロードされる可能性があります。このリンクは、ボイスメール付きスパムメール内で確認されました。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、感染コンピュータ上の特定の情報を収集します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、以下のリモートサイトからダウンロードされコンピュータに侵入します。

• https://www.dropbox.com/{BLOCKED}l/{BLOCKED}0aCI6ICIiLCAidGVzdF9saW5rIjogZmFsc2UsICJzZXJ2ZXIiOiAiZGwuZHJvcGJveHVzZXJjb250ZW50LmNvbSIsICJpdGVtX2lkIjogbnVsbCwgImlzX2RpciI6IGZhbHNlLCAidGtleSI6ICI1MHhpbmZzNzYzYXpsM3YifQ/AAMN9nJxM2drNQsYQyYRtRw1e_0u5PNyEahGPaIbnZu3iA

インストール

マルウェアは、以下のファイルを作成します。

• %Desktop%\DECRYPT_INSTRUCTION.TXT
• %Desktop%\DECRYPT_INSTRUCTION.HTML
• %Desktop%\DECRYPT_INSTRUCTION.URL
• %User Startup%\DECRYPT_INSTRUCTION.TXT
• %User Startup%\DECRYPT_INSTRUCTION.HTML
• %User Startup%\DECRYPT_INSTRUCTION.URL

(註：%Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\デスクトップ"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\デスクトップ" です。. %User Startup%フォルダは、Windows 98 および ME の場合、通常、"C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup"、Windows NT の場合、"C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" および "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" です。)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System Root%{7 characters from UID}\{7 characters from UID}.exe
• %Application Data%\{7 characters from UID}.exe
• %User Startup%\{7 characters from UID}.exe

(註：%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %User Startup%フォルダは、Windows 98 および ME の場合、通常、"C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup"、Windows NT の場合、"C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" および "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" です。)

マルウェアは、以下のフォルダを作成します。

• %System Root%\{7 characters from UID}

(註：%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{6 characters from UID} = "%System Root%{7 characters from UID}\{7 characters from UID}.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{7characters from UID} = "%Application Data%\{7 characters from UID}.exe"

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\{UID}

HKEY_CURRENT_USER\Software\{UID}\
CRYPTLIST

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\{UID}\
CRYPTLIST\{Path of encrypted file}
{Filename of encrypted file} = ""

情報漏えい

マルウェアは、感染コンピュータ上の以下の情報を収集します。

• Unique Identifier (UID)
• Machine Screenshot

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}welcome.com/{random alphanumeric characters}

マルウェアが収集する情報は、以下のとおりです。

• Unique Identification Number(UID)
• コンピュータのスクリーンショット

マルウェアは、暗号化後、すべてのフォルダに以下のファイルを作成します。

• DECRYPT_INSTRUCTION.TXT
• DECRYPT_INSTRUCTION.HTML
• DECRYPT_INSTRUCTION.URL

マルウェアは、データベース関連、Web関連、Microsoft Office関連、動画、画像、スクリプト、テキストのファイルおよび他の非バイナリファイルを暗号化します。

マルウェアは、作成された身代金を要求する註を含む"DECRYPT_INSTRUCTION.TXT"を開きます。

マルウェアは、以下のページを表示し、ファイルを復号する方法を指示します。

マルウェアは、復号化サービス利用のために支払を要求します。