BAT_CRYPTOR.A

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、ファイルの暗号化に「GNU Privacy Guard application（GnuPG）」を利用します。しかし、解析の結果、この不正プログラムは、PC に GnuPG がない場合でも暗号化を行います。感染連鎖の一部として、このドロッパーは暗号化に利用するために GnuPG のコピーを作成します。この一連の動きは、バッチファイルに記述されています。

マルウェアは、他のマルウェアのパッケージとともにコンポーネントとしてコンピュータに侵入します。 マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、実行後、自身を削除します。

侵入方法

マルウェアは、他のマルウェアのパッケージとともにコンポーネントとしてコンピュータに侵入します。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを作成します。

• %User Temp%\KEYPRIVATE

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

作成活動

マルウェアは、以下のファイルを作成します。

• C:\PAYCRYPT_GMAIL_COM.txt
• D:\PAYCRYPT_GMAIL_COM.txt
• %Application Data%\Desktop\PAYCRYPT_GMAIL_COM.txt
• %Desktop%\PAYCRYPT_GMAIL_COM.txt
• %User Temp%\PAYCRYPT_GMAIL_COM.txt
• %User Temp%\pycrp.bin -once this already existed it will not continue its routine

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\Desktop" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

その他

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• *.xls
• *.xlsx
• *.doc
• *.docx
• *.pdf
• *.jpg
• *.cd
• *.jpeg
• *.1cd
• *.rar
• *.mdb
• *.zip

マルウェアは、以下のファイル名を使用し、暗号化されたファイルを改称します。

• {file name and extension}.paycrypt@gmail_com

マルウェアは、実行後、自身を削除します。

<補足>
作成活動

マルウェアは、以下のファイルを作成します。

• %User Temp%\pycrp.bin -このファイルがすでに存在する場合、マルウェアは自身の不正活動を停止します。

その他

マルウェアは、以下のファイル名を使用し、暗号化されたファイルを改称します。

• {ファイル名と拡張子}.paycrypt@gmail_com

注意：

マルウェアは、BドライブからZドライブのファイルを暗号化します。

作成されたファイル「PAYCRYPT_GMAIL_COM.txt」には以下が含まれています。

• BLOCK DATE: {暗号化が完了した日時}

マルウェアは、ディレクトリ「％APPDATA％\ gnupg」を削除します。

マルウェアは、暗号化に使用されたコンポーネントを削除します。

必要なコンポーネントが存在する場合、マルウェアは、以下のファイルを作成します。

• %User Temp%\DECODE.zip
• C:\DECODE.zip
• D:\DECODE.zip
• %User Profile%\Desktop\DECODE.zip
• %Application Data%\Desktop\DECODE.zip
• %User Temp%\KEY.PRIVATE
• %User Temp%\KEYPRIVATE\KEY.PRIVATE
• %Application Data%\KEY.PRIVATE
• C:\KEY.PRIVATE
• D:\KEY.PRIVATE
• %Desktop%\KEY.PRIVATE
• %Application Data%\Desktop\KEY.PRIVATE