RANSOM_CRYPWALL.YUYAIA

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。 マルウェアは、バックドア活動の機能を備えていません。

マルウェアは、Internet Explorer（IE）のゾーン設定を変更します。

マルウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\{random characters}\{random characters}.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、以下のファイルを作成します。

• %User Startup%\INSTRUCTIONS_{RANDOM HEX}.html
• %User Startup%\INSTRUCTIONS_{RANDOM HEX}.png
• %User Startup%\INSTRUCTIONS_{RANDOM HEX}.txt
• {Drive Letter}:\INSTRUCTIONS_{RANDOM HEX}.png

(註：%User Startup%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" 、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、" C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。.)

マルウェアは、以下のファイルを作成し実行します。

• %Desktop%\INSTRUCTIONS_{RANDOM HEX}.html
• %Desktop%\INSTRUCTIONS_{RANDOM HEX}.png
• %Desktop%\INSTRUCTIONS_{RANDOM HEX}.txt

(註：%Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.)

マルウェアは、以下のプロセスを追加します。

• svchost.exe

マルウェアは、以下のプロセスに組み込まれ、システムのプロセスに常駐します。

• created svchost.exe

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random characters} = "%Application Data%\{random characters}\{random characters}.exe"

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://abcdesignbv.nl/vb4UWH.php?{random letter}={random values}
• http://arthuretpaul.com/CiY8cG.php?{random letter}={random values}
• http://arthuretpaul.com/cgi-sys/suspendedpage.cgi?{random letter}={random values}
• http://{BLOCKED}tv.altervista.org/M2auqS.php?{random letter}={random values}
• http://{BLOCKED}ndefterli.com/IAk2Qi.php?{random letter}={random values}
• http://{BLOCKED}alandais.co.nz/3fHZPS.php?{random letter}={random values}
• http://{BLOCKED}hemes.com/vwnRJG.php?{random letter}={random values}
• http://{BLOCKED}deling.ca/rHCcSm.php?{random letter}={random values}
• http://{BLOCKED}chule-gaumenfreude.de/09oq1Q.php?{random letter}={random values}
• http://{BLOCKED}h.com/oLCebS.php?{random letter}={random values}
• http://{BLOCKED}mayard.altervista.org/Dcj485.php?{random letter}={random values}
• http://{BLOCKED}pitalgroup.com/HTDyaz.php?{random letter}={random values}
• http://{BLOCKED}ablethoughts.com/QzGq85.php?{random letter}={random values}
• http://{BLOCKED}hchang.com/9vAMq_.php?{random letter}={random values}
• http://{BLOCKED}g.de/qmnKy8.php?{random letter}={random values}
• http://{BLOCKED}deocio.com/agIYZE.php?{random letter}={random values}
• http://{BLOCKED}yingboars.com/5dKXSR.php?{random letter}={random values}
• http://{BLOCKED}sparentsblog.com/Qemfzh.php?{random letter}={random values}
• http://{BLOCKED}sparentsblog.com/cgi-sys/suspendedpage.cgi?{random letter}={random values}
• http://{BLOCKED}t.sk/174DQV.php?{random letter}={random values}
• http://{BLOCKED}t.sk/YAyiWn.php?{random letter}={random values}
• http://{BLOCKED}buzz.altervista.org/oaHLO8.php?{random letter}={random values}
• http://{BLOCKED}attila.com/4t8H6r.php?{random letter}={random values}
• http://{BLOCKED}ortes.es/P35YLA.php?{random letter}={random values}
• http://www.{BLOCKED}defterli.com/IAk2Qi.php?{random letter}={random values}
• http://www.{BLOCKED}attila.com/4t8H6r.php?{random letter}={random values}
• http://{BLOCKED}tographie.free.fr/SCNnAd.php?{random letter}={random values}

マルウェアは、バックドア活動の機能を備えていません。

Webブラウザのホームページおよび検索ページの変更

マルウェアは、IEのゾーン設定を変更します。

その他

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• pdf
• pot
• xlt
• pps
• xlw
• dot
• rtf
• ppt
• xls
• doc
• xml
• htm
• html
• hta
• zip
• dvr-ms
• wvx
• wmx
• wmv
• wm
• mpv2
• mpg
• mpeg
• mpe
• mpa
• mp2v
• mp2
• m1v
• IVF
• asx
• asf
• wax
• snd
• rmi
• m3u
• au
• aiff
• aifc
• aif
• midi
• mid
• wma
• wav
• m p3
• wmf
• tiff
• tif
• rle
• png
• jpeg
• jpe
• jpg
• jfif
• ico
• gif
• emf
• dib
• bmp

マルウェアは、以下のファイル名を使用し、暗号化されたファイルを改称します。

• {5 to 10 alphanumeric characters}.{2 to 5 alphanumeric characters}

マルウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

マルウェアは、以下のファイル名を使用し、暗号化されたファイルを改称します。

• {5から10までの英数字}.{2から5までの英数字}

マルウェアは、CD-ROMドライブを除くすべてのドライブを検索してファイルを暗号化します。

マルウェアは、以下の拡張子を持つファイルは暗号化しません。

• vb
• scr
• reg
• pif
• msi 
• exe
• com
• cmd
• bat 
• bas

マルウェアは、以下の脅迫状を表示します。

ユーザが脅迫状に指定されている支払いサイトに接続すると、以下の復号サービスサイトがブラウザに表示されます。

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。