TROJ_CRILOCK.NS

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

ランサムウェア「CryptoLocker」は、トレンドマイクロでは「TSPY_ZBOT.VNA」として検出されるオンライン銀行詐欺ツール「ZBOT」の亜種によりダウンロードされます。実行されると、マルウェアは、ファイルを暗号化し、復号ツールを購入するようユーザに要求します。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %Application Data%\{random GUID}.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• {random string 1}
• {random string 2}

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
CryptoLocker = "%Application Data%\{random GUID}.exe"

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\CryptoLocker

HKEY_CURRENT_USER\Software\CryptoLocker\
Files

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\CryptoLocker
PublicKey = “{random values}"

HKEY_CURRENT_USER\Software\CryptoLocker\
Files
{path and file name of encrypted file} = “{hex value}”

マルウェアは、インストールの過程で、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\CryptoLocker

HKEY_CURRENT_USER\Software\CryptoLocker\
Files

その他

• biz/home
• co.uk/home
• com/home
• info/home
• net/home
• org/home
• ru/home

• *.3fr
• *.accdb
• *.arw
• *.bay
• *.cdr
• *.cer
• *.cr2
• *.crt
• *.crw
• *.dbf
• *.dcr
• *.der
• *.dng
• *.doc
• *.docm
• *.docx
• *.dwg
• *.dxf
• *.dxg
• *.eps
• *.erf
• *.indd
• *.kdc
• *.mdb
• *.mdf
• *.mef
• *.mrw
• *.nef
• *.nrw
• *.odb
• *.odc
• *.odm
• *.odp
• *.ods
• *.odt
• *.orf
• *.p12
• *.p7b
• *.p7c
• *.pdd
• *.pef
• *.pem
• *.pfx
• *.ppt
• *.pptm
• *.pptx
• *.psd
• *.pst
• *.ptx
• *.r3d
• *.raf
• *.raw
• *.rtf
• *.rw2
• *.rwl
• *.sr2
• *.srf
• *.srw
• *.wb2
• *.wpd
• *.wps
• *.x3f
• *.xlk
• *.xls
• *.xlsb
• *.xlsm
• *.xlsx

• 電子マネー「Bitcoin（ビットコイン）」
• 電子決済サービス「cashU」
• マネーカード「MoneyPak」
• 電子決済サービス「Ukash」