RANSOM_CRYPWALL.F

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、Internet Explorer（IE）のゾーン設定を変更します。

マルウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\{random characters}\{random characters}.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、以下のファイルを作成し実行します。

• %Desktop%\HELP_YOUR_FILES.TXT
• %Desktop%\HELP_YOUR_FILES.PNG
• %Desktop%\HELP_YOUR_FILES.HTML

(註：%Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random characters} = "%Application Data%\{random characters}\{random characters}.exe"

他のシステム変更

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\SystemRestore
DisableSR = "1"

(註：変更前の上記レジストリ値は、「0」となります。)

Webブラウザのホームページおよび検索ページの変更

マルウェアは、IEのゾーン設定を変更します。

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}usbalitour.com/oaUtAP.php?{random letter}={random values}
• http://{BLOCKED}ranchconstruction.com/1X6sem.php?{random letter}={random values}
• http://{BLOCKED}ome.kz/GFyzb_.php?{random letter}={random values}
• http://{BLOCKED}ailsolutions.com/qO3tsI.php?{random letter}={random values}
• http://{BLOCKED}igeinkaufen.net/xcWeX2.php?{random letter}={random values}
• http://{BLOCKED}lips.nl/c5kNwl.php?{random letter}={random values}
• http://{BLOCKED}ny.coolhandle-customer.com/nKcmBx.php?{random letter}={random values}
• http://{BLOCKED}e.com/otMD9Q.php?{random letter}={random values}
• http://{BLOCKED}pterpilotsalary.org/qz861j.php?{random letter}={random values}
• http://{BLOCKED}orever.com.au/fq0J3e.php?{random letter}={random values}
• http://{BLOCKED}rategies.com/fi6vTk.php?{random letter}={random values}
• http://{BLOCKED}iatv.tv/RTSrQ1.php?{random letter}={random values}
• http://{BLOCKED}nger-spezialwerkzeuge.de/bqJk4H.php?{random letter}={random values}
• http://{BLOCKED}enpizza.net/iCl_jo.php?{random letter}={random values}
• http://{BLOCKED}enpizza.net/tnaDlE.php?{random letter}={random values}
• http://{BLOCKED}hoolingpena.com/L5fT7w.php?{random letter}={random values}
• http://{BLOCKED}vn/mBhkt1.php?{random letter}={random values}
• http://{BLOCKED}arestaurant.com/xtB4w2.php?{random letter}={random values}
• http://{BLOCKED}otproducts.com.au/bBDAV1.php?{random letter}={random values}
• http://{BLOCKED}teo.altervista.org/3JX12F.php?{random letter}={random values}
• http://{BLOCKED}elesyaalanlar.com.tr/xE8UZo.php?{random letter}={random values}
• http://{BLOCKED}pro/XNvu9U.php?{random letter}={random values}
• http://{BLOCKED}enetworks.in/vAqu3L.php?{random letter}={random values}
• http://{BLOCKED}itrini.com/AKVRIv.php?{random letter}={random values}
• http://{BLOCKED}x.pl/Gml5B8.php?{random letter}={random values}
• http://{BLOCKED}a.dk/mDTyas.php?{random letter}={random values}
• http://{BLOCKED}ariatomasztomaszczyk.pl/QCiJW2.php?{random letter}={random values}

マルウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

マルウェアは、感染コンピュータ内のファイルを暗号化する機能を備えています。

マルウェアは、暗号化したファイルが存在するフォルダに"HELP_YOUR_FILES.PNG"を作成します。