TROJ_CROWTI.ER

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System Root%\{8 Random Value}\{8 Random Value}.exe
• %Application Data%\{8 Random Value}.exe

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、以下のフォルダを作成します。

• %System Root%\{8 Random Value}

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{8 Random Value} = "%Application Data%\{8 Random Value}.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{First 7 Characters of {8 Random Value}} = "%System Root%\{8 Random Value}\{8 Random Value}.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
*{Second to the Sixth Characters {8 Random Value}} = "%System Root%\{8 Random Value}\{8 Random Value}.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
*{Last Seven Characters of {8 Random Value}} = "%Application Data%\{8 Random Value}.exe"

マルウェアは、Windows起動時に自動実行されるよう＜User Startup＞フォルダ内に以下のファイルを作成します。

• %User Startup%\{8 Random Value}.exe

(註：%User Startup%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" 、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、" C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。.)

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\{Random Value}

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\{Random Value}
0v = "?[DEFAULT] BASEURL....."

HKEY_CURRENT_USER\Software\{Random Value}
1u = "?What happened to your files ?........"

HKEY_CURRENT_USER\Software\{Random Value}\
{Random}
{Value} = "{List of encrypted files}"

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• {BLOCKED}rfband.info/img1.php?{Random String}
• {BLOCKED}ian.com/img1.php?{Random String}
• {BLOCKED}soft.com/img1.php?{Random String}
• {BLOCKED}eeasset.com/img5.php?{Random String}
• {BLOCKED}xbjx.com/img2.php?{Random String}
• {BLOCKED}iet.com/img1.php?{Random String}
• {BLOCKED}.com/img3.php?{Random String}
• {BLOCKED}amuslim-online.com/img5.php?{Random String}
• {BLOCKED}kan-guvenlik.com/img4.php?{Random String}
• {BLOCKED}italmd.com/img1.php?{Random String}
• {BLOCKED}us/img4.php?{Random String}
• {BLOCKED}biaunited.com/img5.php?{Random String}
• {BLOCKED}nwohnungen-diana.com/img1.php?{Random String}
• {BLOCKED}ade.com/img2.php?{Random String}
• {BLOCKED}g8.com/img5.php?{Random String}
• {BLOCKED}ndtile.net/img3.php?{Random String}
• {BLOCKED}world.com/img3.php?{Random String}
• {BLOCKED}salaria.org/img5.php?{Random String}
• {BLOCKED}a-ng.com/img5.php?{Random String}
• {BLOCKED}azateonline.com/img3.php?{Random String}
• {BLOCKED}cyber.com/img2.php?{Random String}
• {BLOCKED}m.com/img4.php?{Random String}
• {BLOCKED}09.com/img2.php?{Random String}
• {BLOCKED}chae.com/img4.php?{Random String}
• {BLOCKED}loosphoto.com/img4.php?{Random String}
• {BLOCKED}.com/img3.php?{Random String}
• {BLOCKED}hurch.com/img2.php?{Random String}
• {BLOCKED}profreshional.com/img1.php?{Random String}

マルウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

マルウェアは、感染コンピュータのハードドライブ内の、特定の拡張子を持つファイルを暗号化します。

マルウェアは、暗号化されたファイルの存在するすべてのフォルダへ以下のファイルを作成します。

• HELP_DECRYPT.HTML
• HELP_DECRYPT.TXT
• HELP_DECRYPT.PNG
• HELP_DECRYPT