RANSOM_CRYPICH.E

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、Internet Explorer（IE）のゾーン設定を変更します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %User Temp%\{malware file name}.{malware file extension}

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

マルウェアは、以下のファイルを作成します。

• %User Temp%\desk.jpg
• %User Temp%\desk.bmp
• %Program Files%\{random file name}.{random file extension} - contains data to be sent to the C&C
• %User Temp%\ZDAVX.bat - deletes %User Temp%\{malware file name}.{malware file extension} and deletes itself afterwards

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %Program Files%フォルダは、プログラムファイルのフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Program Files"、64bitのOS上で32bitのアプリケーションを実行している場合、 "C:\Program Files (x86)" です。.)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Program Files%\{malware file name}.{malware file extension}

(註：%Program Files%フォルダは、プログラムファイルのフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Program Files"、64bitのOS上で32bitのアプリケーションを実行している場合、 "C:\Program Files (x86)" です。.)

マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成したマルウェア）を終了し、侵入したコンピュータ内で作成した自身のコピーの方を実行します。

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
pr = "%Program Files%\{malware file name}.{malware file extension}"

他のシステム変更

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\Control Panel\Desktop
TileWallpaper = "0"

(註：変更前の上記レジストリ値は、「"{User Preference}"」となります。)

HKEY_LOCAL_MACHINE\Control Panel\Desktop
Wallpaper = "%User Temp%\desk.bmp"

(註：変更前の上記レジストリ値は、「"{User Preference}"」となります。)

マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。

Webブラウザのホームページおよび検索ページの変更

マルウェアは、IEのゾーン設定を変更します。

情報漏えい

マルウェアは、以下の情報を収集します。

• Computer name
• Machine GUID

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}tekhno.com/inst.php

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• accdb
• abf
• a3d
• asm
• fbx
• fbw
• fbk
• fdb
• fbf
• max
• m3d
• dbf
• ldf
• keystore
• iv2i
• gbk
• gho
• sn1
• sna
• spf
• sr2
• srf
• srw
• tis
• tbl
• x3f
• ods
• pef
• pptm
• txt
• pst
• ptx
• pz3
• mp3
• odp
• qic
• wps
• r3d
• rwl
• rx2
• p12
• sbs
• sldasm
• wps
• sldprt
• odc
• odb
• old
• nbd
• nx1
• nrw
• orf
• ppt
• mov
• mpeg
• csv
• mdb
• cer
• arj
• ods
• mkv
• avi
• odt
• pdf
• docx
• gzip
• m2v
• cpt
• raw
• cdr
• cdx
• 1cd
• 3gp
• 7z
• rar
• db3
• zip
• xlsx
• xls
• rtf
• doc
• jpeg
• jpg

マルウェアは、以下のファイル名を使用し、暗号化されたファイルを改称します。

• email-ninja.gaiver@aol.com.ver-CL 1.0.0.0.id-{content of %Program Files%\{random file name}.{random file extension}}.randomname-{random strings}.cbf