RANSOM_ZCRYPT

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、特定のWebサイトにアクセスし、情報を送受信します。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\zcrypt.exe -> attributes are set to Hidden and System

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

ワームは、以下のファイルを作成します。

• %Application Data%\cid.ztxt -> contains the victim's ID
• %Application Data%\public.key -> public key
• %Application Data%\private.key -> private key
• %Application Data%\btc.addr -> Bitcoin Address

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

ワームは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• zcrypt1.0

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
zcrypt = {path of the executed malware}

ワームは、以下のファイルを作成します。

• {Removable Drive Letter}:\autorun.inf

ワームは、Windows起動時に自動実行されるよう＜スタートアップ＞フォルダ内に以下のファイルを作成します。

• %User Startup%\zcrypt.lnk -> Shortcut file for the executed malware

(註：%User Startup%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" 、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、" C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。.)

感染活動

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• {Removable Drive Letter}:\System.exe -> attribute is set to Hidden

その他

ワームは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}rewq.ml/rsa/rsa.php?computerid={victim ID}&public=1

ワームは、以下の拡張子をもつファイルを暗号化します。

• .3fr
• .accdb
• .apk
• .arw
• .aspx
• .avi
• .bak
• .bay
• .bmp
• .cdr
• .cer
• .cgi
• .class
• .cpp
• .cr2
• .crt
• .crw
• .dbf
• .dcr
• .der
• .dng
• .doc
• .docx
• .dwg
• .dxg
• .emlx
• .eps
• .erf
• .gz
• .html
• .indd
• .jar
• .java
• .jpeg
• .jpg
• .jsp
• .kdc
• .log
• .mdb
• .mdf
• .mef
• .mp4
• .mpeg
• .msg
• .nrw
• .odb
• .odp
• .ods
• .odt
• .orf
• .p12
• .p7b
• .p7c
• .pdb
• .pdd
• .pdf
• .pef
• .pem
• .pfx
• .php
• .png
• .ppt
• .pptx
• .psd
• .pst
• .ptx
• .r3d
• .raf
• .raw
• .rtf
• .rw2
• .rwl
• .sav
• .sql
• .srf
• .srw
• .swf
• .tar
• .tar
• .txt
• .vcf
• .wb2
• .wmv
• .wpd
• .xls
• .xlsx
• .xml
• .zip

ワームは、以下のファイル名を使用し、暗号化されたファイルを改称します。

• {original filename}.zcrypt

ただし、情報公開日現在、このWebサイトにはアクセスできません。