TROJ_CRILOCK.YNW

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下の無害なファイルを作成します。

• %Application Data%\key.dat
• %Application Data%\log.html

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\{random}.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
svcav_module = %Application Data%\{random}.exe

その他

マルウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• http://ipinfo.io/ip

マルウェアは、以下の不正なWebサイトにアクセスします。

• https://{BLOCKED}ib47vlep5o.tor2web.fi
• https://{BLOCKED}ib47vlep5o.{BLOCKED}b.blutmagie.de
• https://{BLOCKED}ib47vlep5o.{BLOCKED}8.net
• https://{BLOCKED}ib47vlep5o.{BLOCKED}9.net

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• DayZProfile
• accdb
• apk
• arch00
• arw
• asset
• avi
• bar
• bay
• big
• bik
• bkf
• bkp
• blob
• bsa
• cas
• cdr
• cer
• cfr
• crt
• crw
• css
• csv
• d3dbsp
• das
• dazip
• dbfv
• dcr
• der
• desc
• dmp
• dng
• doc
• docm
• docx
• dwg
• dxg
• epk
• eps
• erf
• esm
• flv
• forge
• fos
• fpk
• fsh
• gdb
• gho
• hkdb
• hkx
• hplg
• hvpl
• ibank
• icxs
• indd
• itdb
• itl
• itm
• iwd
• iwi
• jpe
• jpeg
• jpg
• kdb
• kdc
• layout
• lbf
• litemod
• lrf
• ltx
• lvl
• map
• mcgame
• mcmeta
• mdb
• mdbackup
• mddata
• mdf
• mef
• menu
• mlx
• mpqge
• mrwref
• ncf
• nrw
• ntl
• odb
• odc
• odm
• odp
• ods
• odt
• orf
• pak
• pdd
• pdf
• pef
• pem
• pfx
• pkpass
• png
• ppt
• pptm
• pptx
• psd
• psk
• pst
• ptx
• qdf
• qic
• raf
• rar
• raw
• rgss3a
• rim
• rofl
• rtf
• rwl
• sav
• sc2save
• sid
• sidd
• sidn
• sie
• sis
• slm
• snx
• srf
• srw
• sum
• svg
• syncdb
• tax
• tor
• txt
• unity3d
• upk
• vdf
• vfs0
• vpk
• vpp_pc
• vtf
• wma
• wmo
• wmv
• wotreplay
• wpd
• wps
• xlk
• xls
• xlsb
• xlsm
• xlsx
• xxx
• ztmp

マルウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。