BAT_CRYPVAULT.A

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

「Cryptoランサムウェア」であるこのマルウェアは、ファイルを暗号化し、隔離されたファイルに見える拡張子を付加します。ファイルの隔離は、通常セキュリティ関連製品により行われるものです。

マルウェアは、他のマルウェアのパッケージとともにコンポーネントとしてコンピュータに侵入します。 マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、実行後、自身を削除します。

侵入方法

マルウェアは、他のマルウェアのパッケージとともにコンポーネントとしてコンピュータに侵入します。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\a.qq
• %User Temp%\gk.vlt
• %User Temp%\pk.vlt
• %User Temp%\vaultkey.vlt
• %User Temp%\cryptlist.lst
• %User Temp%\conf.list
• %User Temp%\confclean.list
• %User Temp%\cryptlist.cmd
• %User Temp%\up.vbs
• %User Temp%\ultra.js
• %User Temp%\VAULT.txt
• %User Temp%\VAULT.hta
• %appdata%\VAULT.hta

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

自動実行方法

マルウェアは、作成されたコンポーネントがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
TNotification = "notepad %User Temp%\VAULT.txt"

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
VAULT Notification = "mshta %appdata%\VAULT.hta"

ファイル感染

マルウェアは、ファイル名に以下の文字列を含むファイルには感染しません。

• windows
• temp
• recycle
• program
• appdata
• avatar
• roaming
• msoffice
• temporary
• sample
• themes
• uploads
• csize
• resource
• internet
• com_
• intel
• common
• resources
• texture
• profiles
• library
• clipart
• manual
• games
• framework64
• setupcache
• autograph
• maps
• amd64
• cache
• support
• guide
• abbyy
• application
• thumbnails
• avatars
• template
• adobe

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。

• http://{BLOCKED}lpknfp.onion.city

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\enigma.exe

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

その他

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• *.xls
• *.doc
• *.pdf
• *.rtf
• *.psd
• *.dwg
• *.cdr
• *.cd
• *.mbd
• *.1cd
• *.dbf
• *.sqlite
• *.jpg
• *.zip
• *.7z

マルウェアは、以下のファイル名を使用し、暗号化されたファイルを改称します。

• {file name and extension}.vault

マルウェアは、実行後、自身を削除します。

注意：
マルウェアは、感染コンピュータにインストールされたWebブラウザから以下の情報を復元します。

• パスワード
• ユーザ名
• Webサイト

マルウェアは、感染活動に用いる自身のコンポーネントとして以下のファイルを要求します。

• %User Temp%\301.vlt
• %User Temp%\logs.vlt
• %User Temp%\temp.vlt

そして、自身の不正活動の一部としてこれらのファイルを改称して実行します。

• "%User Temp%\301.vlt" は "audiodg.exe" へ改称される
• "%User Temp%\logs.vlt" は "svchost.exe" へ改称される
• "%User Temp%\temp.vlt" は "tick.exe" へ改称される

要求されたコンポーネントが存在する場合、マルウェアは以下のファイルを作成します。

• %appdata%\CONFIRMATION.KEY
• %appdata%\VAULT.KEY
• %User Temp%\ch.vlt
• %User Temp%\CONFIRMATION.KEY
• %User Temp%\cookie.vlt
• %User Temp%\random_seed
• %User Temp%\secring.gpg
• %User Temp%\trustdb.gpg
• %User Temp%\VAULT.KEY
• %User Temp%\VAULT2.KEY
• %User Temp%\win.vbs
• %userprofile%\Desktop\VAULT-README.txt
• %userprofile%\Desktop\VAULT.KEY

マルウェアは、"B" から "Z"のドライブからのファイルを暗号化します。マルウェアは、暗号化に利用されるコンポーネントを削除します。

マルウェアは、暗号化されたファイルのアイコンを変更します。

マルウェアは、暗号化されたファイルにアクセスされる毎に、ファイルを復活するための指示を含むウィンドウを開きます。

マルウェアは、コンピュータが起動する毎に身代金を要求する通知"%User temp%\VAULT.txt"を表示します。

マルウェアは、コンピュータが起動する毎に身代金を要求する画像 "%appdata%\VAULT.hta"を表示します。