RANSOM_CRYPWALL.XA

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、実行後、自身を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、異なるファイル名を用いて以下のフォルダ内に自身のコピーを作成します。

• %Application Data%\{random 8 characters}\{random 8 characters}.exe
• C:\{random 8 characters}\{random 8 characters}.exe
• %User Startup%\{random 8 characters}.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.. %User Startup%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" 、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、" C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random 8 characters} = "%Application Data%\{random 8 characters}\{random 8 characters}.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random 8 characters} = "C:\{random 8 characters}\{random 8 characters}.exe"

他のシステム変更

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\SystemRestore
DisableSR = "1"

(註：変更前の上記レジストリ値は、「"2"」となります。)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://www.{BLOCKED}ur100unity.com
• http://www.{BLOCKED}torymexico.com
• http://www.{BLOCKED}softball.com
• http://www.{BLOCKED}anadvances.com
• http://www.{BLOCKED}erie.de
• http://www.{BLOCKED}lla.kz
• http://www.{BLOCKED}nyroseville.org
• http://www.{BLOCKED}l.vn
• http://www.{BLOCKED}rmebetterwe.com
• http://www.{BLOCKED}adeoyunlari.org
• http://www.{BLOCKED}ekaonline.com
• http://www.{BLOCKED}racelets.ro
• http://www.{BLOCKED}ddigital.com
• http://www.{BLOCKED}ogc.com.pk
• http://www.{BLOCKED}shop4men.com.br
• http://www.{BLOCKED}kyzworld.com
• http://www.{BLOCKED}servisi.info.tr
• http://www.{BLOCKED}salemaneslabardena.com
• http://www.{BLOCKED}esscod.com
• http://www.{BLOCKED}eeebangalore.org
• http://www.{BLOCKED}vc.uab.es
• http://www.{BLOCKED}acement.com
• http://www.{BLOCKED}surgical.com
• http://www.{BLOCKED}eveloper.com
• http://www.{BLOCKED}oimagenes.com
• http://www.{BLOCKED}alhomesearch.com
• http://www.{BLOCKED}bv.com
• http://www.{BLOCKED}ones.com
• http://www.{BLOCKED}bo.de
• http://www.{BLOCKED}uk.info
• http://www.{BLOCKED}ance.ru
• http://www.{BLOCKED}inbahadi.com
• http://www.{BLOCKED}.com
• http://www.{BLOCKED}dr.es
• http://www.{BLOCKED}ewelry.com
• http://www.{BLOCKED}n.ru
• http://www.{BLOCKED}tic.ro
• http://www.{BLOCKED}elserwa.com
• http://www.{BLOCKED}ernalip.com
• http://www.{BLOCKED}aron.com
• http://www.{BLOCKED}ailable.goneo.de
• http://www.{BLOCKED}dapartman.hu
• http://www.{BLOCKED}dlander.com
• http://www.{BLOCKED}mazon.com
• http://www.{BLOCKED}eo-optic.ro
• http://www.{BLOCKED}.com

マルウェアは、実行後、自身を削除します。