RANSOM_CRYPCORE

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Application Data%\Microsoft\TrueCrypter\TrueCrypter.xml

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\Microsoft\TrueCrypter\TrueCrypter.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、以下のフォルダを作成します。

• %Application Data%\Microsoft\TrueCrypter\

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
TrueCrypter = "%Application Data%\Microsoft\TrueCrypter\TrueCrypter.exe"

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• antilogger
• wireshark
• charles
• fiddler
• netmon
• reflector
• sbiectrl
• taskmgr

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• sysroot.{BLOCKED}ista.org/Settings.txt

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• .7z
• .7zip
• .arw
• .as
• .asm
• .asp
• .aspx
• .au3
• .bash
• .bat
• .bmp
• .bsh
• .c
• .cbr
• .cc
• .cer
• .cfm
• .class
• .cmd
• .config
• .cpp
• .cr2
• .crw
• .cs
• .csh
• .csproj
• .csr
• .css
• .csv
• .cxx
• .d
• .dcr
• .dds
• .deb
• .dib
• .dng
• .doc
• .docm
• .docx
• .dot
• .dotm
• .dotx
• .dtd
• .eps
• .fla
• .fpx
• .gif
• .gz
• .gzip
• .h
• .hpp
• .hta
• .htm
• .html
• .hxx
• .ico
• .inc
• .ini
• .jad
• .java
• .jfif
• .jpe
• .jpeg
• .jpg
• .js
• .jsm
• .json
• .jsp
• .jss
• .jsx
• .kix
• .lex
• .litcofee
• .lpr
• .lua
• .m
• .mrw
• .msg
• .mx
• .nef
• .ods
• .odt
• .org
• .p
• .pages
• .pas
• .pcd
• .pdf
• .pdn
• .php
• .php3
• .php4
• .php5
• .phps
• .phpt
• .phtml
• .pkg
• .pl
• .pm
• .pmx
• .png
• .pot
• .potm
• .potx
• .pp
• .ppam
• .ppsm
• .ppsx
• .pptm
• .pptx
• .prproj
• .ps
• .ps1
• .psd
• .psm1
• .ptx
• .pwi
• .py
• .pyc
• .pyw
• .r
• .raf
• .rar
• .raw
• .rb
• .rbw
• .rc
• .reg
• .resx
• .rpm
• .rss
• .rtf
• .rw2
• .s
• .scpt
• .sh
• .shtml
• .sitx
• .sldm
• .sldx
• .sln
• .splus
• .src
• .swift
• .sxc
• .tar
• .tga
• .thmx
• .tif
• .tiff
• .ts
• .tsv
• .tsx
• .txt
• .vb
• .vbs
• .vcxproj
• .wpd
• .wps
• .xcodeproj
• .xht
• .xhtm
• .xhtml
• .xls
• .xlsx
• .zip
• .zipx
• pps
• ppt
• xlam
• xlsb
• xlsm
• xltm
• xltx