TROJ_CRYPCTB.A

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

ランサムウェア「CryptoLocker」のこの亜種は、匿名通信システム「The Onion Router（Tor）」を用い、自身のコマンド＆コントロール（C&C）による通信を隠ぺいします。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Profile%\My Documents\{random filename 2}.html - contains list of encrypted files
• %User Profile%\My Documents\AllFilesAreLocked{number}.bmp - wallpaper used by the malware
• %User Profile%\My Documents\DecryptAllFiles{number}.txt - contains the ransom note
• %Windows%\Tasks\{random filename 3}.job

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。. %Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Temp%\{random filename 1}.exe

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

他のシステム変更

マルウェアは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Control Panel\Desktop Wallpaper
(Default) = "%User Profile%\My Documents\AllFilesAreLocked{number}.bmp"

(註：変更前の上記レジストリ値は、「{user-defined}」となります。)

マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。

• 
• It asks for users to download TOR and connect to the given URL to retrieve the private key for decryption

その他

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• xlsx
• xlsm
• xlsb
• xls
• xlk
• txt
• sql
• safe
• rtf
• pwm
• pem
• mdf
• mdb
• kwm
• groups
• docx
• docm
• doc
• der
• dbf
• db
• crt
• cer

マルウェアが作成する以下のファイルは、暗号化されるファイルのリストを含んでいます。

• %User Profile%\My Documents\{random filename 2}.html

マルウェアが作成する以下のファイルは、マルウェアが利用する壁紙です。

• %User Profile%\My Documents\AllFilesAreLocked{number}.bmp

マルウェアが作成する以下のファイルは、身代金要求の通知を含んでいます。

• %User Profile%\My Documents\DecryptAllFiles{number}.txt

マルウェアが壁紙に設定する画像では、Torをダウンロードし、復号用プライベートキーを取得するため、提供されたURLにアクセスするようユーザに要求しています。

マルウェアは、暗号化されたファイルに、拡張子"ctbl"を付加します。

マルウェアは、身代金を要求する以下のメッセージを表示します。

マルウェアは、「Bitcoin（ビットコイン）」による支払いをユーザに要求します。

マルウェアは、Torブラウザで提供されたURLを開き、以下のWebページを表示します。