Ransom_CRYPWALL.AGY

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、実行後、自身を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
9cdd7654 = "%User Profile%\9cdd7654\650b7ed4.exe"

他のシステム変更

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\SystemRestore
DisableSR = "1"

作成活動

マルウェアは、以下のファイルを作成します。

• %User Profile%\9cdd7654\650b7ed4.exe
• %User Profile%\Application Data\0e9cdd
• %User Profile%\Internet Explorer\agibf6zo.9fw0q
• %User Profile%\Internet Explorer\t7h5arlvqk.k7x
• %User Profile%\Internet Explorer\HELP_YOUR_FILES.PNG
• %User Profile%\Microsoft\HELP_YOUR_FILES.PNG
• %User Profile%\Application Data\HELP_YOUR_FILES.PNG
• %Application Data%\Microsoft\Windows Media\9.0\xr72w.nm8nx
• %Application Data%\Microsoft\Windows Media\9.0\HELP_YOUR_FILES.PNG
• %Application Data%\Microsoft\Windows Media\HELP_YOUR_FILES.PNG
• %Application Data%\Microsoft\HELP_YOUR_FILES.PNG
• %Application Data%\HELP_YOUR_FILES.PNG
• %User Profile%\Local Settings\HELP_YOUR_FILES.PNG
• %User Profile%\Templates\f9820n.75h
• %User Profile%\Templates\jb90cff.y99
• %User Profile%\Templates\7415ps.97i
• %User Profile%\Templates\ywel25.y4
• %User Profile%\Templates\wja70.i5
• %User Profile%\Templates\233mg.gz82f
• %User Profile%\Templates\p4479e9t85.f3
• %User Profile%\Templates\45vq4a0i.mo6
• %User Profile%\Templates\HELP_YOUR_FILES.PNG
• %User Profile%\HELP_YOUR_FILES.PNG
• %User Profile%\Internet Explorer\g7pn3x4.24h
• %User Profile%\Internet Explorer\xyf299aybr.k4
• %User Profile%\Cookies\n4ic0.e7x
• %User Profile%\Cookies\kfr1xhvuf.9z
• %User Profile%\Cookies\0ev54zmem.7v
• %User Profile%\Cookies\tj9qfm5r1.i7
• %User Profile%\Cookies\bvgm00.2c8aa
• %User Profile%\Cookies\oxc716f.3ds9
• %User Profile%\Cookies\evw08yp.tlb4t
• %User Profile%\Cookies\4861up6.2fsno
• %User Profile%\Cookies\b8qrs.85
• %User Profile%\Cookies\fc0q64t4dn.b6nd3
• %User Profile%\Cookies\01fagze5x.ljl6d
• %User Profile%\Cookies\HELP_YOUR_FILES.PNG
• %Application Data%\Microsoft\Windows Media\9.0\g301vemd3.6j
• %User Profile%\Templates\4sujebo0.9z
• %User Profile%\Templates\ent7ljgkn.3oyy
• %User Profile%\Templates\hjbsq57.s2p
• %User Profile%\Templates\2igw2pf3cf.8yl
• %User Profile%\Templates\uj404gucd2.r8vo
• %User Profile%\Templates\3u09u8f8.zd1
• %User Profile%\Templates\79d10ux.19xbe
• %User Profile%\Templates\wzx7wu8x.n50
• %System Root%\Documents and Settings\HELP_YOUR_FILES.PNG
• %System Root%\HELP_YOUR_FILES.PNG
• %Desktop%\HELP_YOUR_FILES.TXT
• %Desktop%\HELP_YOUR_FILES.HTML
• %Desktop%\HELP_YOUR_FILES.PNG
• %User Startup%\HELP_YOUR_FILES.TXT
• %User Startup%\HELP_YOUR_FILES.HTML
• %User Startup%\HELP_YOUR_FILES.PNG

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.. %System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.. %User Startup%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" 、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、" C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。.)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}gaz.pl
• {BLOCKED}.147.22
• {BLOCKED}.12.32
• {BLOCKED}.16.49
• {BLOCKED}.22.151

マルウェアは、実行後、自身を削除します。

このウイルス情報は、自動解析システムにより作成されました。