TROJ_CRYPCTB.YVV

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、Windowsのタスクスケジューラを用いて、「スケジュールされたタスク」を作成します。これにより、作成されたコピーが実行されます。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %User Temp%\{random filename1}.exe

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

マルウェアは、以下のファイルを作成します。

• %Windows%\Tasks\{random filename2}.job
• %System Root%\{randomly selected path}!Decrypt-All-Files-{random 7 letters}.txt - ransom note
• %System Root%\{randomly selected path}!Decrypt-All-Files-{random 7 letters}.bmp - image of wallpaper
• %ALL Users Profile%\Application Data\{random file name3}.html - contains the list of encrypted files
• %User Profile%\My Documents\!Decrypt-All-Files-{random 7 letters}.txt - ransome note.
• %User Profile%\My Documents\!Decrypt-All-Files-{random 7 letters}.bmp - image used as wallpaper.

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.. %System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.)

マルウェアは、Windowsのタスクスケジューラを用いて、「スケジュールされたタスク」を作成します。これにより、作成されたコピーが実行されます。

自動実行方法

この「スケジュールされたタスク」により、以下の時間ごとにマルウェアが実行されます。

• at logon

他のシステム変更

マルウェアは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %User Profile%\My Documents\!Decrypt-All-Files-{random 7 letters}.bmp

(註：変更前の上記レジストリ値は、「{User Defined}」となります。)

HKEY_CURRENT_USER\Control Panel\Desktop
TileWallpaper = "0"

(註：変更前の上記レジストリ値は、「"User Defined"」となります。)

HKEY_CURRENT_USER\Control Panel\Desktop
WallpaperStyle = "0"

(註：変更前の上記レジストリ値は、「"User Defined"」となります。)

その他

マルウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• http://ip.telize.com

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}mxlqabmvfnw4wp4.onion.lt
• http://{BLOCKED}mxlqabmvfnw4wp4.tor2web.fi
• http://{BLOCKED}mxlqabmvfnw4wp4.onion.cab
• http://{BLOCKED}mxlqabmvfnw4wp4.onion.gq
• http://{BLOCKED}mxlqabmvfnw4wp4.tor2web.org
• http://{BLOCKED}mxlqabmvfnw4wp4.tor2web.blutmagie.de

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• 3fr
• 7z
• accdb
• ai
• arw
• bas
• bay
• blend
• cdr
• cer
• cpp
• cr2
• crt
• c
• crw
• cs
• db
• dbf
• dcr
• dds
• dd
• der
• dng
• docm
• docx
• doc
• dwg
• dxf
• dxg
• eps
• erf
• groups
• indd
• jpe
• jpeg
• jpg
• js
• kdc
• kwm
• mdb
• mdf
• md
• mef
• mrw
• nef
• nrw
• odb
• odm
• odp
• ods
• odt
• orf
• p12
• p7b
• p7c
• pdd
• pdf
• pef
• pem
• pfx
• php
• pl
• pptm
• ppt
• pptx
• psd
• pst
• ptx
• pwm
• py
• r3d
• raf
• rar
• raw
• rtf
• rw2
• rwl
• safe
• sql
• srf
• srw
• txt
• vsd
• wb2
• wpd
• wps
• xlk
• xlsm
• xls
• xlsb
• xlsx
• zip

マルウェアは、以下のファイル名を使用し、暗号化されたファイルを改称します。

• {original file name and extension}.{random 7 letters}