TROJ_CRYPCTB.B

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Profile%\My Documents\{random filename 2}.html - contains list of encrypted files
• %User Profile%\My Documents\AllFilesAreLocked{number}.bmp - wallpaper used by the malware
• %User Profile%\My Documents\DecryptAllFiles{number}.txt - contains the ransom note
• %Windows%\Tasks\{random filename 3}.job

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。. %Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Temp%\{random filename 1}.exe

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

他のシステム変更

マルウェアは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Control Panel\Desktop Wallpaper
(Default) = "%User Profile%\My Documents\AllFilesAreLocked{number}.bmp"

(註：変更前の上記レジストリ値は、「{user-defined}」となります。)

マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。

• 

• It asks for users to download Tor and connect to the given URL to retrieve the private key for decryption

その他

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• pwm
• kwm
• safe
• groups
• txt
• cer
• crt
• der
• pem
• doc
• docm
• docx
• rtf
• xlk
• xls
• xlsb
• xlsm
• xlsx
• mdb
• mdf
• dbf
• db
• sql
• md
• dd
• dds
• jpe
• jpg
• jpeg
• cr2
• raw
• rw2
• rwl
• dwg
• dxf
• dxg
• psd
• 3fr
• accdb
• ai
• arw
• bay
• blend
• cdr
• crw
• dcr
• dng
• eps
• erf
• indd
• kdc
• mef
• mrw
• nef
• nrw
• odb
• odm
• odp
• ods
• odt
• orf
• p12
• p7b
• p7c
• pdd
• pdf
• pef
• pfx
• ppt
• pptm
• pptx
• pst
• ptx
• r3d
• raf
• srf
• srw
• wb2
• vsd
• wpd
• wps
• 7z
• zip
• rar