RANSOM_CRYPWALL.AX

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、Internet Explorer（IE）のゾーン設定を変更します。

マルウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\{random characters}\{random characters}.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、以下のファイルを作成し実行します。

• %Desktop%\HELP_YOUR_FILES.TXT
• %Desktop%\HELP_YOUR_FILES.PNG
• %Desktop%\HELP_YOUR_FILES.HTML

(註：%Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random characters} = "%Application Data%\{random characters}\{random characters}.exe"

他のシステム変更

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\SystemRestore
DisableSR = "1"

(註：変更前の上記レジストリ値は、「0」となります。)

Webブラウザのホームページおよび検索ページの変更

マルウェアは、IEのゾーン設定を変更します。

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• {BLOCKED}ven-handbags.com/X1rZYp.php
• {BLOCKED}ink.us/9X2kNr.php
• {BLOCKED}onvieira.com.br/6CvxuN.php
• {BLOCKED}arpaintbody.com/lrQ2bG.php
• {BLOCKED}emission.org/VImTSM.php
• {BLOCKED}listictraining.com/c0Mdwh.php
• {BLOCKED}-sun.eu/4BKEt7.php
• {BLOCKED}b.pl/WBxm6M.php
• {BLOCKED}manykaprun.cz/LV6Egb.php
• {BLOCKED}.pl/93_7ja.php
• {BLOCKED}ia-meble.pl/Q0bAHK.php
• {BLOCKED}n.ca/IlDH1J.php
• {BLOCKED}viomariocervo.it/3lV_m5.php
• {BLOCKED}day.sk/mE8MKJ.php
• {BLOCKED}anltd.kz/_aP5Qm.php
• {BLOCKED}u/wlI0Uy.php
• {BLOCKED}tance-pc.fr/DzJuMa.php
• {BLOCKED}kfullofcarrots.ch/OIP7rk.php
• {BLOCKED}com.au/rxo5Zp.php
• {BLOCKED}as-krombach.de/F74yDk.php
• {BLOCKED}aus-iffland.com/1G7MQi.php
• {BLOCKED}ghtstone.com/TVdDjZ.php
• {BLOCKED}u.com/mshUtH.php
• {BLOCKED}ikdental.com/GMu28q.php
• {BLOCKED}lik.com/4XQIPH.php
• {BLOCKED}-consulting.com/1r432c.php
• {BLOCKED}sugema.com/fgr5nw.php
• {BLOCKED}roucomprar.com/cNabw1.php
• {BLOCKED}oductions.nl/oDYzxb.php
• {BLOCKED}rderappeschoenlapper.nl/RA4BLM.php
• {BLOCKED}rijwegerif.nl/52Qwds.php
• {BLOCKED}ceveda.com/i5amQC.php
• {BLOCKED}nium.altervista.org/cUFD6S.php
• {BLOCKED}tradydrewniane.pl/6Ejz4Y.php
• {BLOCKED}opreescolar.com/_bfSj7.php
• {BLOCKED}tballvideobwsl.net/jN3vUi.php
• {BLOCKED}yandblings.com/RWH6sC.php
• {BLOCKED}altervista.org/Detuk4.php
• {BLOCKED}tv.altervista.org/b1AUCJ.php
• {BLOCKED}x.kz/Ov8_qV.php
• {BLOCKED}aintoys.az/v6a8Ls.php
• {BLOCKED}eseltimes.com/5X1Wb3.php
• {BLOCKED}n-bloss.eu/Yo_QUd.php
• {BLOCKED}forestclocks.org/K6lWQg.php
• {BLOCKED}ogar.com/K1kCOF.php
• {BLOCKED}diogene-atmosphere.com/ixcnYt.php
• {BLOCKED}docotel.com/NFDayU.php
• {BLOCKED}hairconstruction.co/GFrT6o.php
• {BLOCKED}mm.net/aq6oTm.php
• {BLOCKED}rls.me/bToO9P.php
• {BLOCKED}fszen.com/AMx5jI.php
• {BLOCKED}nmode.nl/DaZjW7.php
• {BLOCKED}ord-marine.com/Rd8pPK.php
• {BLOCKED}ingandentering-movie.com/rXUaE8.php
• {BLOCKED}ebookkeeping.co.uk/WnsB6l.php
• {BLOCKED}x.com/VWuyK4.php
• {BLOCKED}intas.nl/NL417H.php
• {BLOCKED}i.com/_AcyQv.php
• {BLOCKED}ci.net/kqa4ho.php
• {BLOCKED}being.com/G5JmvW.php
• {BLOCKED}tto90210.altervista.org/bJT1VS.php
• {BLOCKED}val-club-boeckels.de/kiCsmO.php
• {BLOCKED}ikazamkowa.pl/WGr_xJ.php
• {BLOCKED}ctive.ml/0FeLA2.php
• {BLOCKED}eurquest.com/nCHOvM.php

マルウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

マルウェアは、感染コンピュータ内のファイルを暗号化する機能を備えています。

マルウェアは暗号化されたファイルが存在するすべてのフォルダに"HELP_YOUR_FILES.PNG"を作成します。