WORM_CRILOCK.A

トレンドマイクロは、このワームをNoteworthy（要注意）に分類しました。

ワームは、他のコンピュータへ容易に拡散を可能にする感染機能を備えた「CryptoLocker（クリプトロッカー）」の亜種です。他の「CRILOCK」の亜種は同様の不正活動を展開しないため、重要な機能と言えます。

ワームは、リムーバブルドライブを介してコンピュータに侵入します。 ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %System%\msunet.exe

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
MSUpdate = "%System%\msunet.exe"

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\RunOnce
*MSUpdate = "%System%\msunet.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
MSUpdate = "%System%\msunet.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
*MSUpdate = "%System%\msunet.exe"

ワームは、以下のレジストリ値を変更して自身のセーフモードでの実行を可能にします。

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows NT\CurrentVersion\Winlogon
Userinit = "%System%\userinit.exe, %System%\msunet.exe"

(註：変更前の上記レジストリ値は、「%System%\userinit.exe」となります。)

他のシステム変更

ワームは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\policies\
Explorer

ワームは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\policies\
Explorer
NoDriveTypeAutoRun = "91"

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\policies\
Explorer
NoDriveAutoRun = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
NoDriveAutoRun = "0"

感染活動

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• {Removable Drive Letter}:\setup.exe
• {Removable Drive Letter}:\{Filename}.exe - if executable files exist

その他

ワームは、以下のIPアドレスにアクセスすることにより、ファイルの暗号化に利用されるキーをダウンロードします。

• http://＜省略＞morej.＜省略＞st3.com/dd/testcon.php
• http://＜省略＞.＜省略＞.56.1/dd/testcon.php
• http://＜省略＞morej.＜省略＞ge.biz/ee/testcon.php

ワームは、以下の拡張子を持つファイルを暗号化します。

• *.3fr
• *.accdb
• *.ai
• *.arw
• *.bay
• *.cdr
• *.cer
• *.cr2
• *.crt
• *.crw
• *.dbf
• *.dcr
• *.der
• *.dng
• *.doc
• *.docm
• *.docx
• *.dwg
• *.dxf
• *.dxg
• *.eps
• *.erf
• *.indd
• *.jpe
• *.jpg
• *.kdc
• *.mdb
• *.mdf
• *.mef
• *.mp3
• *.mp4
• *.mrw
• *.nef
• *.nrw
• *.odb
• *.odm
• *.odp
• *.ods
• *.odt
• *.orf
• *.p12
• *.p7b
• *.p7c
• *.pdd
• *.pef
• *.pem
• *.pfx
• *.ppt
• *.pptm
• *.pptx
• *.psd
• *.pst
• *.ptx
• *.r3d
• *.raf
• *.raw
• *.rtf
• *.rwl
• *.srf
• *.srw
• *.txt
• *.wb2
• *.wpd
• *.wps
• *.xlk
• *.xls
• *.xlsb
• *.xlsm
• *.xlsx

ワームは、以下の支払い方法のいずれかを介して、ユーザに罰金の支払を要求します。

• 電子マネー「Bitcoin（ビットコイン）」

ワームは、以下のソフトウェアの「アクティベータ」を装います。

• Adobe Photoshop
• ESET
• Office 2013
• Team Viewer
• Windows

ワームは、リムーバブルドライブ内で確認した"EXE"の拡張子を持つすべてのファイルを削除し、存在する.EXEファイルの名称を利用した自身のコピーと置き換えます。

ワームがすべてのリムーバブルドライブ内に作成する自身のコピーは以下のとおりです。

• ＜リムーバブルドライブレター＞:\setup.exe

実行可能なファイルが存在する場合、ワームがすべてのリムーバブルドライブ内に作成する自身のコピーは以下のとおりです。

• ＜リムーバブルドライブレター＞:\＜ファイル名＞.exe