RANSOM_CRYPTLOCK.DLFLUM

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、Internet Explorer（IE）のゾーン設定を変更します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Windows%\{Random Malware Filename}.exe

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、以下のコンポーネントファイルを作成します。

• %All Users Profile%\Application Data\{random folder name}\{random file name1}
• %All Users Profile%\Application Data\{random folder name}\{random file name3}
• %All Users Profile%\Application Data\{random folder name}\{random file name2}

(註：%All Users Profile%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\All Users”、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\ProgramData” です。.)

マルウェアは、以下のフォルダを作成します。

• %All Users Profile%\Application Data\{random folder name}

(註：%All Users Profile%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\All Users”、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\ProgramData” です。.)

マルウェアは、以下のプロセスにコードを組み込みます。

• explorer.exe

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{random} = "%Windows%\{Random Malware Filename}.exe"

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Windows Messaging Subsystem

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Windows Messaging Subsystem\
Profiles

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\PhishingFilter
EnabledV8 = 0

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\PhishingFilter
EnabledV9 = 0

Webブラウザのホームページおよび検索ページの変更

マルウェアは、IEのゾーン設定を変更します。

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• https://bemopron.{BLOCKED}alowe.org/topic.php
• https://{BLOCKED}er.com/topic.php

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• .accdb
• .accdb
• .accde
• .accde
• .ade
• .adp
• .asc
• .asp
• .csv
• .cub
• .cub
• .dbf
• .doc
• .doc
• .docm
• .docm
• .docx
• .docx
• .dot
• .dot
• .dotm
• .dotx
• .dotx
• .dqy
• .dsn
• .htm
• .htm
• .htm*
• .html
• .html
• .iqy
• .mdb
• .mdb
• .mdb
• .mde
• .mde
• .mht
• .mht
• .mhtml
• .odc
• .ols
• .oqy
• .oqy
• .pab
• .prn
• .rqy
• .rtf
• .rtf
• .tab
• .txt
• .udl
• .uxdc
• .wdb
• .wj?
• .wk?
• .xls
• .xlsb
• .xlsm
• .xlsx
• .xsd
• .xsl
• .xslt

マルウェアは、以下のファイル名を使用し、暗号化されたファイルを改称します。

• {Original Filename}.encrypted

ただし、情報公開日現在、このWebサイトにはアクセスできません。