Ransom.Win32.CRYPFINI.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

特定のファイル拡張子を持つファイルを暗号化します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Profile%\{Computer name}-{Random Characters}.exe

(註：%User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。)

マルウェアは、以下のファイルを作成します。

• {Target Drive or Folders}:\ReadDecryptFilesHere.txt
• %User Profile%\z2.bmp

(註：%User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。)

マルウェアは、以下のプロセスを追加します。

• "%System%\cmd.exe" /k vssadmin.exe Delete Shadows /All /Quiet
• "%System%\cmd.exe" /k bcedit.exe /set {default} recoveryenabled No
• "%System%\cmd.exe" /k bcedit.exe /set {default} bootstatuspolicy ignoreallfailures

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Microsoft corporation = %User Profile%\{Computer name}-{Random Characters}.exe

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\CryptInfinite\
Info
KEY = [Random characters]

HKEY_CURRENT_USER\Software\CryptInfinite\
Info
KEYFREE = [Random characters]

HKEY_CURRENT_USER\Software\CryptInfinite\
Info
1 = 000000

HKEY_CURRENT_USER\Software\CryptInfinite\
Info
c = 23

HKEY_CURRENT_USER\Software\CryptInfinite\
Info
m = 59

HKEY_CURRENT_USER\Software\CryptInfinite\
Info
s = {59,43,41,39}

HKEY_CURRENT_USER\Software\CryptInfinite\
Info
Finish = True

HKEY_CURRENT_USER\Software\CryptInfinite\
Info
FreeFile = {File name of the 10th encrypted file}

HKEY_CURRENT_USER\Software\CryptInfinite\
Files
{Number starting from 1 up to the total number of encrypted files} = {File name of the encrypted file}

マルウェアは、以下のレジストリ値を変更し、デスクトップの壁紙を変更します。

HKEY_CURRENT_USER\Control Panel\Desktop
wallpaper = %User Profile%\z2.bmp

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• msconfig.exe
• rstrui.exe
• tcpview.exe
• procexp.exe
• procmon.exe
• wireshark.exe
• lordPE.exe
• regedit.exe
• cmd.exe
• filemon.exe
• procexp64.exe

その他

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\CryptInfinite

HKEY_CURRENT_USER\Software\CryptInfinite\
Info

HKEY_CURRENT_USER\Software\CryptInfinite\
Files

マルウェアは、以下を実行します。

• Encrypts files within the following drives only:
  • Fixed Drive
  • Removable Drive
  • Network Drive
• Change desktop wallpaper into:
  
• Drops this text file that serves as a ransom note:
  
• Connects to the following URL and waits for a response before the malware proceeds to display the ransomnote:
  • http://{BLOCKED}i2.onion.direct/lending/bot.php?name={Computer Name}&kod={Random Characters}&pid=2
• Display this following window if successfully established connection from the URL above:
  • 
  • These buttons does the following:
    • "Next->" -> Display another page:
      
    • "Where buy?" -> https://www.paypal-cash.com -> Legitimate Paypal website.
    • "Decrypt 1 file for free" -> Restore the 10th encrypted file.
    • "Manual Check" -> Display another message and button:
      
    • "Download DecryptMax.exe" -> http://www.sendspace.com/file/{BLOCKED}n

ランサムウェアの不正活動

以下の拡張子を持つファイルを暗号化します：$$ DATA $$

• .yuv
• .php
• .html
• .jsp
• .xlsx
• .xlsm
• .xlsb
• .XLS
• .xlr
• .XLK
• .X3F
• .wps
• .wpd
• .wmv
• .wma
• .WB2
• .wav
• .vob
• .vmxf
• .vmx
• .vmsd
• .vmdk
• .vhdx
• .vhd
• .vdi
• .vbox
• .tlg
• .thm
• .tga
• .tex
• .swf
• .svg
• .stm
• .srw
• .srt
• .SRF
• .SR2
• .sql
• .sav
• .safe
• .rwl
• .rw2
• .rvt
• .rtf
• .rm
• .RAW
• .raf
• .R3D
• .qed
• .qcow2
• .qcow
• .qby
• .qbx
• .qbw
• .qbr
• .qbm
• .qbb
• .qba
• .py
• .pwm
• .PTX
• .pst
• .PSD
• .ps
• .pptx
• .PPTM
• .ppt
• .pps
• .png
• .pl
• .pif
• .pfx
• .pem
• .PEF
• .pdf
• .PDD
• .pdb
• .pct
• .pas
• .pab
• .P7C
• .p7b
• .p12
• .ost
• .orf
• .ogg
• .odt
• .ods
• .ODP
• .odm
• .odc
• .ODB
• .obj
• .oab
• .nvram
• .nrw
• .nk2
• .nef
• .ndf
• .nd
• .msg
• .MRW
• .mpg
• .mpeg
• .mp4
• .mp3
• .mov
• .mkv
• .MEF
• .mdf
• .mdb
• .max
• .m4v
• .m4p
• .m2ts
• .m
• .lua
• .log
• .kwm
• .key
• .kdc
• .jpg
• .JPEG
• .jpe
• .java
• .INDD
• .iif
• .hpp
• .hdd
• .h
• .groups
• .gif
• .flvv
• .flac
• .fla
• .ERF
• .eps
• .eml
• .edb
• .dxg
• .DXF
• .dwg
• .dtd
• .DOCX
• .docm
• .doc
• .DNG
• .dit
• .des
• .DER
• .dds
• .dcr
• .DBF
• .db
• .dat
• .cs
• .crw
• .crt
• .cr2
• .cpp
• .cer
• .cdr
• .c
• .blend
• .bin
• .BAY
• .bak
• .backup
• .back
• .avi
• .asx
• .asf
• .arw
• .aiff
• .ai
• .ach
• .ACCDB
• .7z
• .3gp
• .3g2
• .3fr
• .3ds
• .3dm

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• %Program Files%
• %Windows%

(註：%Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .crinf