TROJ_CRIBIT.B

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、「BitCrypt」と呼ばれるランサムウェアで、さまざまなビットコインのウォレットから金銭を収集します。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 マルウェアは、リモートサイトから他のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

マルウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、リモートサイトから以下のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

• TSPY_FAREIT.BB

マルウェアは、以下のリモートサイトからダウンロードされコンピュータに侵入します。

• http://{BLOCKED}directory.com/file/win.exe

インストール

マルウェアは、以下のコンポーネントファイルを作成します。

• %Application Data%\BitCrypt.txt - contains ransom message
• %Application Data%\BitCrypt.bmp - used as wallpaper
• %Application Data%\bitcrypt.ccw - configuration file

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\{random filename}.exe - deleted after encryption routine

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、身代金を要求する手紙として、テキストファイルを作成します。このテキストファイルは以下の内容を含んでいます。

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Bitcomint = "%Application Data%\{random filename}.exe" (This is deleted after the malware successfully encrypted user's files)

他のシステム変更

マルウェアは、以下のレジストリキーを削除します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot\Minimal

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot\Network

マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• taskmgr.exe
• regedit.exe

その他

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• *.dbf
• *.mdb
• *.mde
• *.xls
• *.xlw
• *.docx
• *.doc
• *.cer
• *.key
• *.rtf
• *.xlsm
• *.xlsx
• *.txt
• *.xlc
• *.docm
• *.xlk
• *.text
• *.ppt
• *.djvu
• *.pdf
• *.lzo
• *.djv
• *.cdx
• *.cdt
• *.cdr
• *.bpg
• *.xfm
• *.dfm
• *.pas
• *.dpk
• *.dpr
• *.frm
• *.vbp
• *.php
• *.js
• *.wri
• *.css
• *.asm
• *.jpg
• *.jpeg
• *.dbx
• *.dbt
• *.odc
• *.sql
• *.abw
• *.pab
• *.vsd
• *.xsf
• *.xsn
• *.pps
• *.lzh
• *.pgp
• *.arj
• *.gz
• *.pst
• *.xl

マルウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

マルウェアが作成する以下のコンポーネントファイルは、身代金を要求するメッセージを含んでいます。

• %Application Data%\BitCrypt.txt

マルウェアが作成する以下のコンポーネントファイルは、壁紙として利用されます。

• %Application Data%\BitCrypt.bmp

マルウェアが作成する以下のコンポーネントファイルは、環境設定ファイルです。

• %Application Data%\bitcrypt.ccw

マルウェアが作成する以下の自身のコピーは、暗号化活動の後、削除されます。

• %Application Data%\{random filename}.exe

マルウェアは、すべての固定ドライブ内のユーザのファイルの暗号化に成功した後、マルウェア自身、作成された自身のコピーおよび追加された自動実行レジストリを削除します。

マルウェアは、"Microsoft Geographical Location Value"を含む以下のキーの値をクエリします。

HKEY_CURRENT_USER\Control Panel\International\Geo\Nation

この値は、「Bitcrypt」のIDの一部として利用されます。

また、マルウェアは、以下のコマンドも実行します。

• cmd.exe /K bcdedit /set ＜bootmgr＞ displaybootmenu no
• cmd.exe /K bcdedit /set ＜default＞ bootstatuspolicy ignoreallfailures

マルウェアは、暗号化されたファイルの拡張子に"bitcrypt2"の文字列を追加します。