TROJ_CRYPCTB.RUI

マルウェアは、大量送信されたスパムメールに添付されて、コンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、大量送信されたスパムメールに添付されて、コンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %System Root%\{randomly selected path}\!Decrypt-All-Files-{random characters}.txt - copy of the ransom note
• %System Root%\{randomly selected path}\!Decrypt-All-Files-{random characters.bmp - copy of the .bmp file
• %User Profile%\My Documents\!Decrypt-All-Files-{random characters}.bmp - image used as wallpaper
• %User Profile%\My Documents\!Decrypt-All-Files-{random characters}.txt - ransom note in text file
• %All Users Profile%\Application Data\{random characters}.html - contains ransom note and list of encrypted files

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.. %All Users Profile%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\All Users”、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\ProgramData” です。.)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Temp%\{random filename}.exe

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

マルウェアは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

• svchost.exe
• explorer.exe

マルウェアは、以下のフォルダを作成します。

• %All Users Profile%\Application Data\{randomly selected path}\{random characters}

(註：%All Users Profile%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\All Users”、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\ProgramData” です。.)

自動実行方法

マルウェアは、以下のファイルを作成します。

• C:\Windows\Tasks\{random filename}.job

他のシステム変更

マルウェアは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = "%User Profile%\My Documents\Decrypt All Files {random characters}.bmp"

(註：変更前の上記レジストリ値は、「{user-defined}」となります。)

HKEY_CURRENT_USER\Control Panel\Desktop
TileWallpaper = 0

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}bmvfnw4wp4.{BLOCKED}n.cab
• {BLOCKED}bmvfnw4wp4.{BLOCKED}n.lt
• {BLOCKED}bmvfnw4wp4.{BLOCKED}b.fi
• {BLOCKED}bmvfnw4wp4.{BLOCKED}b.org
• {BLOCKED}bmvfnw4wp4.{BLOCKED}b.blutmagie.de
• {BLOCKED}bmvfnw4wp4.{BLOCKED}n.cab

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• 3fr
• 7z
• abu
• accdb
• ai
• arp
• arw
• bas
• bay
• bdcr
• bdcu
• bdd
• bdp
• bds
• blend
• bpdr
• bpdu
• bsdr
• bsdu
• c
• cdr
• cer
• config
• cpp
• cr2
• crt
• crw
• cs
• dbf
• dbx
• dcr
• dd
• dds
• der
• dng
• doc
• docm
• docx
• dwg
• dxf
• dxg
• eps
• erf
• fdb
• gdb
• gdb
• groups
• gsd
• gsf
• ims
• indd
• iss
• jpe
• jpeg
• jpg
• js
• kdc
• kwm
• md
• mdb
• mdf
• mef
• mrw
• nef
• nrw
• odb
• odm
• odp
• ods
• odt
• orf
• p12
• p7b
• p7c
• pas
• pdd
• pdf
• pef
• pem
• pfx
• php
• pl
• ppt
• pptm
• pptx
• psd
• pst
• ptx
• pwm
• py
• r3d
• raf
• rar
• raw
• rgx
• rik
• rtf
• rw2
• rwl
• safe
• sql
• srf
• srw
• txt
• vsd
• wb2
• wpd
• wps
• xlk
• xls
• xlsb
• xlsm
• xlsx
• zip