Ransom.Win32.CRYLOCK.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、実行後、自身を削除します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Temp%\svc{3 random letters}.exe

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のプロセスを追加します。

• %User Temp%\svc{3 random letters}.exe
• cmd.exe /c "ping 0.0.0.0&del "{malware filepath}\{malware filename}.exe""
• vssadmin.exe delete shadows /all /quiet
• wbadmin.exe DELETE SYSTEMSTATEBACKUP -keepVersions:0
• wbadmin.exe DELETE BACKUP -keepVersions:0
• wbem\WMIC.exe SHADOWCOPY DELETE
• bcdedit.exe /set {default} recoveryenabled No
• bcdedit.exe /set {default} bootstatuspolicy ignoreallfailures
• mshta.exe "%User Temp%\how_to_decrypt.hta"

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、実行後、自身を削除します。

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• {Generated ID}

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{Generated ID} = "%User Temp%\svc{3 random letters}.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{Generated ID}hta = "%User Temp%\how_to_decrypt.hta"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{random numbers} = {random numbers}

その他

マルウェアは、以下を実行します。

• It empties the Recycle Bin

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• how_to_decrypt.hta
• %User Temp%\svc{3 random letters}.exe → its dropped copy

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• Windows
• Recycler

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• [{Malicious Email}][{Generated ID}].{3 random letters}
  • where
    • {Malicious Email} can be one of the following:
      • {BLOCKED}ry@{BLOCKED}ail.com
      • {BLOCKED}y@{BLOCKED}.me
    • {Generated ID} is unique for every infected machine
    • {3 random letters} is different for every encrypted file

マルウェアが作成する以下のファイルは、脅迫状です。

• %User Temp%\how_to_decrypt.hta
• {Encrypted Directory}\how_to_decrypt.hta
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .bat
• .bmp
• .dll
• .ini
• .log
• .sys