RANSOM_CRYPTLOCK.AN

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Windows%\{random 8 letters}.exe

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、以下のファイルを作成します。

• %All Users Profile%\Application Data\{random folder name}\{8 random letters}

(註：%All Users Profile%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\All Users”、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\ProgramData” です。.)

マルウェアは、以下のプロセスを追加します。

• explorer.exe

マルウェアは、以下のフォルダを作成します。

• %All Users Profile%\Application Data\{random folder name}

(註：%All Users Profile%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\All Users”、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\ProgramData” です。.)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\{random}

マルウェアは、以下のプロセスにコードを組み込みます。

• created explorer.exe

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{random letters} = "%Windows%\{random 8 letters}.exe"

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\PhishingFilter

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\PhishingFilter
EnabledV8 = 0

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\PhishingFilter
EnabledV9 = 0

情報漏えい

マルウェアは、以下の情報を収集します。

• Machine GUID
• Computer name

その他

マルウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• http://ipecho.net/plain

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• https://{pseudo-random}.{BLOCKED}edy.org/topic.php
• http://{BLOCKED}.{BLOCKED}.21.38:443

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• 3gp
• aac
• ans
• ape
• asc
• asm
• asp
• aspx
• avi
• awk
• bas
• bat
• bmp
• c
• cs
• cls
• clw
• cmd
• cpp
• csproj
• css
• ctl
• cxx
• def
• dep
• dlg
• dsp
• dsw
• eps
• f
• f77
• f90
• f95
• fla
• flac
• frm
• gif
• h
• hpp
• hta
• htm
• html
• hxx
• ico
• idl
• inc
• ini
• inl
• java
• jpeg
• jpg
• js
• la
• mak
• manifest
• wmv
• mov
• mp3
• mp4
• mpe
• mpeg
• mpg
• m4a
• ofr
• ogg
• pac
• pas
• pdf
• php
• php3
• php4
• php5
• phptml
• pl
• pm
• png
• ps
• py
• pyo
• ra
• rb
• rc
• reg
• rka
• rm
• rtf
• sed
• sh
• shn
• shtml
• sln
• sql
• srt
• swa
• tcl
• tex
• tiff
• tta
• txt
• vb
• vcproj
• vbs
• wa
• v
• wma
• wv
• xml
• xsd
• xsl
• xslt

マルウェアは、以下のファイル名を使用し、暗号化されたファイルを改称します。

• {original file name and extension}.encrypted

ただし、情報公開日現在、このWebサイトにはアクセスできません。