RANSOM_CRYPTLOCK.YYSJD

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、Internet Explorer（IE）のゾーン設定を変更します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Windows%\{Random Malware Filename}.exe

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、以下のコンポーネントファイルを作成します。

• {Encrypted File Path}\HOW_TO_RESTORE_FILES.txt -> Ransom Note
• {Encrypted File Path}\HOW_TO_RESTORE_FILES.html -> Ransom Note
• %All Users Profile%\Application Data\erekakalacosumiz\aherizyb
• %All Users Profile%\Application Data\erekakalacosumiz\eberesyb
• %All Users Profile%\Application Data\erekakalacosumiz\izerihyb

(註：%All Users Profile%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\All Users”、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\ProgramData” です。.)

マルウェアは、以下のファイルを作成し実行します。

• %Desktop%\HOW_TO_RESTORE_FILES.txt -> Ransom Note
• %Desktop%\HOW_TO_RESTORE_FILES.html -> Ransom Note

(註：%Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.)

マルウェアは、以下のフォルダを作成します。

• %All Users Profile%\Application Data\oxekybivykehuhiw

(註：%All Users Profile%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\All Users”、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\ProgramData” です。.)

マルウェアは、以下のプロセスにコードを組み込みます。

• explorer.exe

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{random} = "%Windows%\{Random Malware Filename}.exe"

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Windows Messaging Subsystem

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Windows Messaging Subsystem\
Profiles

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\PhishingFilter
EnabledV8 = 0

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\PhishingFilter
EnabledV9 = 0

Webブラウザのホームページおよび検索ページの変更

マルウェアは、IEのゾーン設定を変更します。

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}o.net/plain
• http://{BLOCKED}yip.com/text
• http://{BLOCKED}nalip.com/raw
• http://{pseudorandom domain name}.{BLOCKED}ssy.net:443

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• .ACL
• .ACT
• .ANI
• .AU
• .AVI
• .BIN
• .BMP
• .CAB
• .CAT
• .CGM
• .CHK
• .CNV
• .COM
• .CPL
• .CUR
• .DIC
• .DLL
• .DRV
• .EXE
• .FFA
• .FFL
• .FFO
• .FFX
• .FLT
• .FON
• .GID
• .GIF
• .HLP
• .ICM
• .ICO
• .JPEG
• .JPG
• .LEX
• .MAP
• .MMF
• .MOV
• .NLS
• .NSF
• .OBJ
• .OCX
• .OLB
• .PAR
• .PCS
• .PDB
• .PS
• .PST
• .SCR
• .SEQ
• .SYS
• .TAR
• .TMP
• .TTC
• .TTF
• .URL
• .VBX
• .VXD
• .WAV
• .WMF
• .XAB
• .ZIP

マルウェアは、以下のファイル名を使用し、暗号化されたファイルを改称します。

• {Original Filename}.encrypted

ただし、情報公開日現在、このWebサイトにはアクセスできません。