RANSOM_CRYPWALL.NDC

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、Internet Explorer（IE）のゾーン設定を変更します。

マルウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Startup%\HELP_YOUR_FILES.TXT
• %User Startup%\HELP_YOUR_FILES.PNG
• %User Startup%\HELP_YOUR_FILES.HTML

(註：%User Startup%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" 、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、" C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。.)

マルウェアは、以下のファイルを作成し実行します。

• %Desktop%\HELP_YOUR_FILES.TXT
• %Desktop%\HELP_YOUR_FILES.PNG
• %Desktop%\HELP_YOUR_FILES.HTML

(註：%Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.)

マルウェアは、以下のプロセスを追加します。

• explorer.exe
• svchost.exe

マルウェアは、以下のプロセスに組み込まれ、システムのプロセスに常駐します。

• created svchost.exe
• created explorer.exe

他のシステム変更

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\SystemRestore
DisableSR = "1"

(註：変更前の上記レジストリ値は、「0」となります。)

Webブラウザのホームページおよび検索ページの変更

マルウェアは、IEのゾーン設定を変更します。

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• {BLOCKED}nl/eDiXOW.php?{random letter}={ransom values}
• {BLOCKED}oto.com/Txa8o1.php?{random letter}={ransom values}
• {BLOCKED}i.com/NPmba6.php?{random letter}={ransom values}
• {BLOCKED}artners.co.uk/QbyNHx.php?{random letter}={ransom values}
• {BLOCKED}tbc.com/B5QnHc.php?{random letter}={ransom values}
• {BLOCKED}com/MNf6vV.php?{random letter}={ransom values}
• {BLOCKED}ackerpro.com/yG9MXe.php?{random letter}={ransom values}
• {BLOCKED}precision.co.uk/olw0LY.php?{random letter}={ransom values}
• {BLOCKED}g.com/TrpblW.php?{random letter}={ransom values}
• {BLOCKED}cebeauty.pl/luvrLh.php?{random letter}={ransom values}
• {BLOCKED}ovanilombardia.it/OzGkyc.php?{random letter}={ransom values}
• {BLOCKED}nceprotector.co.uk/geTEUt.php?{random letter}={ransom values}
• {BLOCKED}0.com/HQIX8D.php?{random letter}={ransom values}
• {BLOCKED}onders.nl/rdpOR7.php?{random letter}={ransom values}
• {BLOCKED}et/Ti0wYU.php?{random letter}={ransom values}
• {BLOCKED}lier.nl/CWX0us.php?{random letter}={ransom values}
• {BLOCKED}-e-umeed.com.pk/UKXj_6.php?{random letter}={ransom values}
• {BLOCKED}ufotografie.nl/0VyG4w.php?{random letter}={ransom values}
• {BLOCKED}a.com/J5fRBK.php?{random letter}={ransom values}
• {BLOCKED}er.ir/6wHvxJ.php?{random letter}={ransom values}
• {BLOCKED}ing.com/Kw8Wbk.php?{random letter}={ransom values}
• {BLOCKED}o.uk/K4oW6n.php?{random letter}={ransom values}
• {BLOCKED}.cl/SGonM1.php?{random letter}={ransom values}
• {BLOCKED}.co.uk/KVJWS0.php?{random letter}={ransom values}
• {BLOCKED}ct.ac.cn/nxX6oh.php?{random letter}={ransom values}
• {BLOCKED}utkal.com/3_ofvC.php?{random letter}={ransom values}
• {BLOCKED}mira.com/U1GAkX.php?{random letter}={ransom values}
• {BLOCKED}silvano.nl/MOkv3U.php?{random letter}={ransom values}
• {BLOCKED}rthbunglows.com/OtlFrM.php?{random letter}={ransom values}
• {BLOCKED}ego.com/LI_AE0.php?{random letter}={ransom values}
• {BLOCKED}academy.ro/LdQFBg.php?{random letter}={ransom values}
• {BLOCKED}.com/HUpXQR.php?{random letter}={ransom values}
• {BLOCKED}n/owKJZP.php?{random letter}={ransom values}
• {BLOCKED}z.com/16lmW_.php?{random letter}={ransom values}
• {BLOCKED}hescortistanbul.com/zNG4ei.php?{random letter}={ransom values}
• {BLOCKED}oratory.org/F7vL6x.php?{random letter}={ransom values}
• {BLOCKED}erry.pl/FBi6Rd.php?{random letter}={ransom values}
• {BLOCKED}ediborcsorgulama.com/0xX5bw.php?{random letter}={ransom values}

マルウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。