RANSOM_CRYPSHED.I

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %All Users%\Application Data\Windows\csrss.exe

マルウェアは、以下のファイルを作成します。

• %System Root%\README1.txt
• %System Root%\README2.txt
• %System Root%\README3.txt
• %System Root%\README4.txt
• %System Root%\README5.txt
• %System Root%\README6.txt
• %System Root%\README7.txt
• %System Root%\README8.txt
• %System Root%\README9.txt
• %System Root%\README10.txt
• %Desktop%\README1.txt
• %Desktop%\README2.txt
• %Desktop%\README3.txt
• %Desktop%\README4.txt
• %Desktop%\README5.txt
• %Desktop%\README6.txt
• %Desktop%\README7.txt
• %Desktop%\README8.txt
• %Desktop%\README9.txt
• %Desktop%\README10.txt
• %Application Data%\{random characters}.bmp

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Client Server Runtime Subsystem = "%All Users Profile%\Windows\csrss.exe"

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\System32\
Configuration

HKEY_CURRENT_USER\SOFTWARE\System32\
Configuration

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\System32\
Configuration
{random 2 letters} = {PUBLIC KEY}

HKEY_LOCAL_MACHINE\SOFTWARE\System32\
Configuration
cnt = 0

HKEY_LOCAL_MACHINE\SOFTWARE\System32\
Configuration
mode = 273

HKEY_LOCAL_MACHINE\SOFTWARE\System32\
Configuration
state = 3

HKEY_LOCAL_MACHINE\SOFTWARE\System32\
Configuration
state = 4

HKEY_LOCAL_MACHINE\SOFTWARE\System32\
Configuration
i = {random characters}

HKEY_LOCAL_MACHINE\SOFTWARE\System32\
Configuration
Version = 7.2.0.3

HKEY_CURRENT_USER\SOFTWARE\System32\
Configuration
{random 2 letters} = {PUBLIC KEY}

HKEY_CURRENT_USER\SOFTWARE\System32\
Configuration
cnt = 0

HKEY_CURRENT_USER\SOFTWARE\System32\
Configuration
mode = 273

HKEY_CURRENT_USER\SOFTWARE\System32\
Configuration
state = 3

HKEY_CURRENT_USER\SOFTWARE\System32\
Configuration
state = 4

HKEY_CURRENT_USER\SOFTWARE\System32\
Configuration
i = {random characters}

HKEY_CURRENT_USER\SOFTWARE\System32\
Configuration
Version = 7.2.0.3

マルウェアは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = "%Application Data%\{random characters}.bmp"

(註：変更前の上記レジストリ値は、「"{user-defined}"」となります。)

その他

マルウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• http://myip.ru/
• http://whoer.net/

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}4.ga/{path}
  where {path} can be any of the following:
  • reg.php
  • prog.php
  • err.php
  • cmd.php
  • sys.php
  
  

マルウェアは、以下のファイル名を使用し、暗号化されたファイルを改称します。

• {random characters}.breaking_bad
• {random characters}.heisenberg