RANSOM_CRYPWALL.YUYAHM

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

マルウェアは、Internet Explorer（IE）のゾーン設定を変更します。

マルウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\{random characters}\{random characters}.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、以下のファイルを作成します。

• %User Startup%\INSTRUCTIONS_{RANDOM HEX}.html
• %User Startup%\INSTRUCTIONS_{RANDOM HEX}.png
• %User Startup%\INSTRUCTIONS_{RANDOM HEX}.txt
• {Drive Letter}:\INSTRUCTIONS_{RANDOM HEX}.png

(註：%User Startup%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" 、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、" C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。.)

マルウェアは、以下のファイルを作成し実行します。

• %Desktop%\INSTRUCTIONS_{RANDOM HEX}.html
• %Desktop%\INSTRUCTIONS_{RANDOM HEX}.png
• %Desktop%\INSTRUCTIONS_{RANDOM HEX}.txt

(註：%Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.)

マルウェアは、以下のプロセスを追加します。

• svchost.exe

マルウェアは、以下のプロセスに組み込まれ、システムのプロセスに常駐します。

• created svchost.exe

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random characters} = "%Application Data%\{random characters}\{random characters}.exe"

バックドア活動

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}relampago.com.br/4jiPBG.php
• {BLOCKED}ekinci.biz/Hg3V8b.php
• {BLOCKED}gou.com/Pfy2Qs.php
• {BLOCKED}info/zYNKoq.php
• {BLOCKED}.sk/g3lfoj.php
• {BLOCKED}.com.br/SGJ_Fr.php
• {BLOCKED}ka.com.ua/tjhW2B.php
• {BLOCKED}p.pl/Si0cCJ.php
• {BLOCKED}ness.be/fYvA5U.php
• {BLOCKED}trade.tk/12fDze.php
• {BLOCKED}bear.net/MRGKAC.php
• {BLOCKED}rtners.it/Dd6VPR.php
• {BLOCKED}kz/yMZFGp.php
• {BLOCKED}o.kz/LUoMqa.php
• {BLOCKED}ness.be/isB2Ac.php
• {BLOCKED}ster.kz/vUn1wz.php
• {BLOCKED}-anything.tk/PsdO76.php
• {BLOCKED}ka.com.ua/MVc9hg.php
• {BLOCKED}ightcr.com/tHja9Z.php
• {BLOCKED}y.kz/7_9SR6.php
• {BLOCKED}rticle.com/fZ1Y8M.php
• {BLOCKED}nat.ro/ZeNpML.php
• {BLOCKED}ldirim.net/zn9mur.php
• {BLOCKED}le.com.br/XAT7zH.php
• {BLOCKED}experto.pe/zOesbw.php
• {BLOCKED}orts4u.com/dfgOwA.php
• {BLOCKED}.pl/fFe_xr.php
• {BLOCKED}assescorts4u.com/Snuxg7.php
• {BLOCKED}entod.ua/I35pl6.php
• {BLOCKED}.kz/TSOXQL.php
• {BLOCKED}o.com.br/4A0Hw5.php
• {BLOCKED}dedon.com/CBRrYv.php
• {BLOCKED}gp.ir/U_ABoi.php
• {BLOCKED}obirlik.com/UxAK5e.php
• {BLOCKED}fishing.com/CXjq48.php
• {BLOCKED}music.nl/yBDEMc.php
• {BLOCKED}osautomotivos.com.br/KMYz1s.php
• {BLOCKED}ucatangob.mx/UIagAy.php
• {BLOCKED}sa.com/Zoe2aN.php
• {BLOCKED}rehberi.com/6JQEva.php
• {BLOCKED}hina.com/NSrcQE.php
• {BLOCKED}ouse.nl/iMVfC4.php
• {BLOCKED}radydrewniane.pl/Fcb7VZ.php
• {BLOCKED}anch.us/PtAg1I.php
• {BLOCKED}gloan.com/1vR9hu.php
• {BLOCKED}e-veza.sk/Owm50c.php
• {BLOCKED}om.tr/prkdzF.php
• {BLOCKED}rga.co/L8HU29.php
• {BLOCKED}lescorts4u.com/XqVFBm.php
• {BLOCKED}odalari.net/GnOLXh.php
• {BLOCKED}everka.sk/6RGZgC.php
• {BLOCKED}ociort.ro/6sZTLc.php

Webブラウザのホームページおよび検索ページの変更

マルウェアは、IEのゾーン設定を変更します。

その他

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• pdf
• pot
• xlt
• pps
• xlw
• dot
• rtf
• ppt
• xls
• doc
• xml
• htm
• html
• hta
• zip
• dvr-ms
• wvx
• wmx
• wmv
• wm
• mpv2
• mpg
• mpeg
• mpe
• mpa
• mp2v
• mp2
• m1v
• IVF
• asx
• asf
• wax
• snd
• rmi
• m3u
• au
• aiff
• aifc
• aif
• midi
• mid
• wma
• wav
• m p3
• wmf
• tiff
• tif
• rle
• png
• jpeg
• jpe
• jpg
• jfif
• ico
• gif
• emf
• dib
• bmp

マルウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。