RANSOM_CRYPTESLA.CBQ164P

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %My Documents%\{random filename}.exe

  (Note: %My Documents% is usually C:\Documents and Settings\{user name}\My Documents on Windows 2000, XP, and Server 2003, or C:\Users\{user name}\Documents on Windows Vista and 7.)

マルウェアは、以下のファイルを作成します。

• Ransom notes:
  • {folders containing encrypted files}\-!RecOveR!-{random 5 letters}++.Txt
  • {folders containing encrypted files}\-!RecOveR!-{random 5 letters}++.Png
  • {folders containing encrypted files}\-!RecOveR!-{random 5 letters}++.Htm
  • %Desktop%\-!RecOveR!-{random 5 letters}++.Txt
  • %Desktop%\-!RecOveR!-{random 5 letters}++.Png
  • %Desktop%\-!RecOveR!-{random 5 letters}++.Htm
  • %My Documents%\-!RecOveR!-{random 5 letters}++.Txt
  • %My Documents%\-!RecOveR!-{random 5 letters}++.Png
  • %My Documents%\-!RecOveR!-{random 5 letters}++.Htm
• %My Documents%\desctop._ini

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
hostslert{random characters} = "C:\WINDOWS\SYSTEM32\CMD.EXE /C START "" "%My Documents%\{random filename}.exe""

他のシステム変更

マルウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
system
EnableLinkedConnections = "1"

To enable Windows to share network connections

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}erchandisingservices.com/wp-content/plugins/phpinc.php
• http://{BLOCKED}codes.be/phpinc.php
• http://{BLOCKED}codes.be/cgi-sys/suspendedpage.cgi
• http://{BLOCKED}lsandhandbags.com/phpinc.php
• http://{BLOCKED}lsandhandbags.com/cgi-sys/suspendedpage.cgi
• http://{BLOCKED}e-autominer.info/phpinc.php
• http://{BLOCKED}ses.info/wp-content/plugins/phpinc.php
• http://{BLOCKED}e.com/phpinc.php

マルウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

マルウェアが作成する以下のファイルは、脅迫状です。

• {folders containing encrypted files}\-!RecOveR!-{random 5 letters}++.Txt
• {folders containing encrypted files}\-!RecOveR!-{random 5 letters}++.Png
• {folders containing encrypted files}\-!RecOveR!-{random 5 letters}++.Htm
• %Desktop%\-!RecOveR!-{random 5 letters}++.Txt
• %Desktop%\-!RecOveR!-{random 5 letters}++.Png
• %Desktop%\-!RecOveR!-{random 5 letters}++.Htm
• %My Documents%\-!RecOveR!-{random 5 letters}++.Txt
• %My Documents%\-!RecOveR!-{random 5 letters}++.Png
• %My Documents%\-!RecOveR!-{random 5 letters}++.Htm

マルウェアは、感染コンピュータ内のファイルを暗号化する機能を備えています。