RANSOM_CRYPWALL.YUYAHL

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、実行後、自身を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成し実行します。

• %Desktop%\HELP_YOUR_FILES.TXT
• %Desktop%\HELP_YOUR_FILES.HTML
• %Desktop%\HELP_YOUR_FILES.PNG

(註：%Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\{random characters}\{random characters}.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random characters} = "%Application Data%\{random characters}\{random characters}.exe"

他のシステム変更

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\SystemRestore
DisableSR = "1"

(註：変更前の上記レジストリ値は、「"0"」となります。)

作成活動

マルウェアは、以下のファイルを作成します。

• HELP_YOUR_FILES.PNG - drops to all folders where files are encrypted
• %User Startup%\HELP_YOUR_FILES.TXT
• %User Startup%\HELP_YOUR_FILES.HTML
• %User Startup%\HELP_YOUR_FILES.PNG

(註：%User Startup%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" 、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、" C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。.)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• {BLOCKED}ta.fr/nvxNme.php?{random letter}={random values}
• {BLOCKED}arrakech.com/E3NdTo.php?{random letter}={random values}
• {BLOCKED}sun.eu/QwED5H.php?{random letter}={random values}
• {BLOCKED}mcneillphotography.com/u4RXnf.php?{random letter}={random values}
• {BLOCKED}onsulting.co.uk/rSjYy6.php?{random letter}={random values}
• {BLOCKED}radydrewniane.pl/WBK8VG.php?{random letter}={random values}
• {BLOCKED}ls.com/XG3vxT.php?{random letter}={random values}
• {BLOCKED}edirc.org/WYePm4.php?{random letter}={random values}
• {BLOCKED}rreviews.info/0jLwW3.php?{random letter}={random values}
• {BLOCKED}biz.ua/QBSAUM.php?{random letter}={random values}
• {BLOCKED}carwash.nl/rQfvlH.php?{random letter}={random values}
• {BLOCKED}.com/6pVAQf.php?{random letter}={random values}
• {BLOCKED}cakehouse.co.uk/qyUm1G.php?{random letter}={random values}
• {BLOCKED}.me/TKStDb.php?{random letter}={random values}
• {BLOCKED}vallon.fr/OcVEU8.php?{random letter}={random values}
• {BLOCKED}gaz.pl/5dqR3n.php?{random letter}={random values}
• {BLOCKED}oint.ua/07LHgW.php?{random letter}={random values}
• {BLOCKED}fe.uns.ac.id/XPgmur.php?{random letter}={random values}
• {BLOCKED}tk/risQ1j.php?{random letter}={random values}
• {BLOCKED}ightcr.com/1SDYkP.php?{random letter}={random values}
• {BLOCKED}/Yfu9jM.php?{random letter}={random values}
• {BLOCKED}lies.net/8oLQSB.php?{random letter}={random values}
• {BLOCKED}experto.pe/nsUG4H.php?{random letter}={random values}
• {BLOCKED}obarco.com.ar/5TFv7E.php?{random letter}={random values}
• {BLOCKED}p.com/Ks1rCc.php?{random letter}={random values}
• {BLOCKED}business.com/VwlgrL.php?{random letter}={random values}
• {BLOCKED}.com.ua/3bARt0.php?{random letter}={random values}
• {BLOCKED}hal.co.uk/IyRPQH.php?{random letter}={random values}
• {BLOCKED}rjuricek.sk/4FG6Ol.php?{random letter}={random values}
• {BLOCKED}biz/_1OcaL.php?{random letter}={random values}
• {BLOCKED}ices.com.ua/aRsGYD.php?{random letter}={random values}
• {BLOCKED}rt.de/kxrZuq.php?{random letter}={random values}
• {BLOCKED}houseofhealth.nl/Gnxo5m.php?{random letter}={random values}
• {BLOCKED}ommunicatie.nl/kXeBNa.php?{random letter}={random values}
• {BLOCKED}ram.fr/NG1eHC.php?{random letter}={random values}
• {BLOCKED}nthomas.in/NbHmI5.php?{random letter}={random values}
• {BLOCKED}ankumardas.in/rQaCzI.php?{random letter}={random values}
• {BLOCKED}mind.dk/rq4sBg.php?{random letter}={random values}
• {BLOCKED}com/b5RJgt.php?{random letter}={random values}
• {BLOCKED}girl.com.cn/IYgk8h.php?{random letter}={random values}
• {BLOCKED}t.ie/N6HeRI.php?{random letter}={random values}
• {BLOCKED}ub.com.ua/CHcD01.php?{random letter}={random values}
• {BLOCKED}up-pl.com/IgqGVf.php?{random letter}={random values}
• {BLOCKED}ina-ltd.com.ua/FZCcID.php?{random letter}={random values}
• {BLOCKED}dsa.com/teT25J.php?{random letter}={random values}

マルウェアは、以下のファイル名を使用し、暗号化されたファイルを改称します。

• {random characters}.{random characters}

マルウェアは、実行後、自身を削除します。