RANSOM_CRYPCTB.VXYD

マルウェアは、Windowsのタスクスケジューラを用いて、「スケジュールされたタスク」を作成します。これにより、作成されたコピーが実行されます。

侵入方法

マルウェアは、以下のリモートサイトからダウンロードされ、コンピュータに侵入します。

• http://{BLOCKED}cred.com.br/incasso/?1336

マルウェアは、以下の方法でコンピュータに侵入します。

• spammed email messages containing links that hosts the malware

インストール

マルウェアは、以下のファイルを作成します。

• %My Documents%\!Decrypt-All-Files-{extension name}.txt – ransom note
• %My Documents%\!Decrypt-All-Files-{extension name}.bmp – used as wallpaper
• %All Users Profile%\{random filename 2}.html – list of encrypted files
• %System Root%\{randomly selected path}\!Decrypt-All-Files-{extension name}.txt
• %System Root%\{randomly selected path}\!Decrypt-All-Files-{extension name}.bmp
• several {random filename 3}.tmp files – deleted afterwards. contains temporary copy of encrypted files
• %Tasks%\{random filename 4} – scheduled task

  (Note: %Tasks% is usually C:\Windows\Tasks on Windows XP and below, or C:\Windows\system32\Tasks on Windows Vista and above. %My Documents% is usually C:\Documents and Settings\{user name}\My Documents on Windows 2000, XP, and Server 2003, or C:\Users\{user name}\Documents on Windows Vista and 7.)

(註：%All Users Profile%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\All Users”、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\ProgramData” です。.. %System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Temp%\{random filename 1}.exe

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

マルウェアは、Windowsのタスクスケジューラを用いて、「スケジュールされたタスク」を作成します。これにより、作成されたコピーが実行されます。

マルウェアは、以下のプロセスにコードを組み込みます。

• explorer.exe

他のシステム変更

マルウェアは、以下のファイルを改変します。

• It encrypts files and appends the extension name .{7 random characters}

マルウェアは、以下のレジストリ値を変更し、デスクトップの壁紙を変更します。

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = "%My Documents%\!Decrypt-All-Files-{extension name}.bmp"

マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。

その他

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• 3fr
• 7z
• abu
• accdb
• ai
• arp
• arw
• bas
• bay
• bdcr
• bdcu
• bdd
• bdp
• bds
• blend
• bpdr
• bpdu
• bsdr
• bsdu
• c
• cdr
• cer
• config
• cpp
• cr2
• crt
• crw
• cs
• dbf
• dbx
• dcr
• dd
• dds
• der
• dng
• doc
• docm
• docx
• dwg
• dxf
• dxg
• eps
• erf
• fdb
• gdb
• gdb
• groups
• gsd
• gsf
• ims
• indd
• iss
• jpe
• jpeg
• jpg
• js
• kdc
• kwm
• md
• mdb
• mdf
• mef
• mrw
• nef
• nrw
• odb
• odm
• odp
• ods
• odt
• orf
• p12
• p7b
• p7c
• pas
• pdd
• pdf
• pef
• pem
• pfx
• php
• pl
• ppt
• pptm
• pptx
• psd
• pst
• ptx
• pwm
• py
• r3d
• raf
• rar
• raw
• rgx
• rik
• rtf
• rw2
• rwl
• safe
• sql
• srf
• srw
• txt
• vsd
• wb2
• wpd
• wps
• xlk
• xls
• xlsb
• xlsm
• xlsx
• zip