TROJ_CRYPCTB.P

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。

マルウェアは、Windowsのタスクスケジューラを用いて、「スケジュールされたタスク」を作成します。これにより、作成されたコピーが実行されます。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、以下のマルウェアに作成され、コンピュータに侵入します。

• TROJ_DALEXIS.P

インストール

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %User Temp%\{random file name}.exe

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

マルウェアは、以下のファイルを作成します。

• %All Users Profile%\Application Data\{random characters}.html - contains ransom note and list of encrypted files
• %All Users Profile%\Application Data\{randomly selected folder }\{random file name} - private key
• %User Profile%\My Documents\!Decrypt-All_Files-{random letters}.bmp - wallpaper
• %User Profile%\My Documents\!Decrypt-All_Files-{random letters}.txt - ransom note in .txt file
• %System%\config\systemprofile\My Documents\!Decrypt-All_Files-{random letters}.bmp - wallpaper
• %System%\config\systemprofile\My Documents\!Decrypt-All_Files-{random letters}.txt - ransom note in .txt file
• %Windows%\Tasks\{random file name}.job - points to %User Temp%\{random file name}.exe

(註：%All Users Profile%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\All Users”、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\ProgramData” です。.. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

マルウェアは、Windowsのタスクスケジューラを用いて、「スケジュールされたタスク」を作成します。これにより、作成されたコピーが実行されます。

マルウェアは、以下のプロセスにコードを組み込みます。

• svchost.exe
• explorer.exe

自動実行方法

この「スケジュールされたタスク」により、以下の時間ごとにマルウェアが実行されます。

• startup

他のシステム変更

マルウェアは、以下のレジストリ値を変更し、デスクトップの壁紙を変更します。$DATA$$

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}m4qk625n6.tor2web.{BLOCKED}gie.de
• {BLOCKED}m4qk625n6.tor2web.org
• {BLOCKED}m4qk625n6.tor2web.fi
• {BLOCKED}m4qk625n6.onion.cab
• {BLOCKED}m4qk625n6.onion.lt
• {BLOCKED}m4qk625n6.onion.gq
• {BLOCKED}4qk625n6.tor2web.{BLOCKED}gie.de
• {BLOCKED}4qk625n6.tor2web.fi
• {BLOCKED}3cad3kn7v.onion
• {BLOCKED}3cad3kn7v.onion.cab
• {BLOCKED}3cad3kn7v.tor2web.org
• {BLOCKED}k625n6.tor2web.fi

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• 3fr
• 7z
• abu
• accdb
• ai
• arp
• arw
• bas
• bay
• bdcr
• bdcu
• bdd
• bdp
• bds
• blend
• bpdr
• bpdu
• bsdr
• bsdu
• cdr
• cer
• config
• cpp
• cr2
• crt
• crw
• cs
• dbf
• dbx
• dcr
• dds
• dd
• der
• dng
• docm
• doc
• docx
• dwg
• dxf
• dxg
• eps
• erf
• fdb
• gdb
• groups
• gsd
• gsf
• ims
• indd
• iss
• jpeg
• jpe
• jpg
• js
• kdc
• kwm
• md
• mdb
• mdf
• mef
• mrw
• nef
• nrw
• odb
• odm
• odp
• ods
• odt
• orf
• p12
• p7b
• p7c
• pas
• pdd
• pdf
• pef
• pem
• pfx
• php
• pl
• ppt
• pptm
• pptx
• psd
• pst
• ptx
• pwm
• py
• r3d
• raf
• rar
• raw
• rgx
• rik
• rtf
• rw2
• rwl
• safe
• sql
• srf
• srw
• txt
• vsd
• wb2
• wpd
• wps
• xlk
• xls
• xlsm
• xlsx
• xlsb
• zip

マルウェアは、以下のファイル名を使用し、暗号化されたファイルを改称します。

• {original file name}.{random letters}