TROJ_CRYPLOCK.YZ

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %All Users Profile%\Application Data\uwovejawakogylyw\01000000
• %Windows%\{random 8 letters}.exe

(註：%Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。)

マルウェアは、以下のファイルを作成します。

• %All Users Profile%\Application Data\uwovejawakogylyw\00000000
• %All Users Profile%\Application Data\uwovejawakogylyw\02000000
• %All Users Profile%\Application Data\uwovejawakogylyw\03000000 - copy of ransom note

マルウェアは、以下のプロセスを追加します。

• explorer.exe

マルウェアは、以下のフォルダを作成します。

• %All Users Profile%\Application Data\uwovejawakogylyw

マルウェアは、以下のプロセスにコードを組み込みます。

• created explorer.exe

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random 8 letters} = "%Windows%\{random 8 letters}.exe"

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\ivurinulonodusuf

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\ivurinulonodusuf
01000000 = "{binary copy of itself}"

HKEY_CURRENT_USER\Software\ivurinulonodusuf
02000000 = "%Windows%\{random 8 letters}.exe"

HKEY_CURRENT_USER\Software\ivurinulonodusuf
00000000 = "04 00 00 00"

HKEY_CURRENT_USER\Software\ivurinulonodusuf
03000000 = "{binary copy of ransom note}"

情報漏えい

マルウェアは、以下の情報を収集します。

• Machine GUID
• Computer name

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}tic.ru:443/topic.php

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• 3ds
• 3fr
• 3pr
• 7z
• ab4
• ac2
• accdb
• accde
• accdr
• accdt
• acr
• adb
• agd1
• ai
• ait
• al
• apj
• arw
• asm
• asp
• awg
• backup
• backupdb
• bak
• bdb
• bgt
• bik
• bkp
• blend
• bpw
• cdf
• cdr
• cdr3
• cdr4
• cdr5
• cdr6
• cdrw
• cdx
• ce1
• ce2
• cer
• cfp
• cgm
• cib
• cls
• cmt
• cpi
• cpp
• cr2
• craw
• crt
• crw
• csh
• csl
• css
• csv
• dac
• db
• db-journal
• db3
• dbf
• dc2
• dcr
• dcs
• ddd
• ddoc
• ddrw
• der
• design
• dgc
• djvu
• dng
• doc
• docm
• docx
• dot
• dotm
• dotx
• drf
• drw
• dwg
• dxb
• erbsql
• erf
• exf
• fdb
• ffd
• fff
• fh
• fhd
• fpx
• fxg
• gray
• grey
• gry
• hbk
• hpp
• ibank
• ibd
• ibz
• idx
• iiq
• incpas
• jpeg
• jpg
• js
• kc2
• kdbx
• kdc
• kpdx
• lua
• mdb
• mdc
• mef
• mfw
• mmw
• moneywell
• mos
• mpg
• mrw
• myd
• ndd
• nef
• nop
• nrw
• ns2
• ns3
• ns4
• nsd
• nsf
• nsg
• nsh
• nwb
• nx1
• nx2
• nyf
• odb
• odf
• odg
• odm
• odp
• ods
• odt
• orf
• otg
• oth
• otp
• ots
• ott
• p12
• p7b
• p7c
• pat
• pcd
• pdf
• pef
• pem
• pfx
• php
• pl
• pot
• potm
• potx
• ppam
• pps
• ppsm
• ppsx
• ppt
• pptm
• pptx
• ps
• psafe3
• psd
• ptx
• py
• ra2
• raf
• rar
• raw
• rdb
• rtf
• rw2
• rwl
• rwz
• s3db
• sas7bdat
• sav
• sd0
• sd1
• sda
• sdf
• sldm
• sldx
• sql
• sqlite
• sqlite3
• sqlitedb
• sr2
• srf
• srw
• st4
• st5
• st6
• st7
• st8
• stc
• std
• sti
• stw
• stx
• sxc
• sxd
• sxg
• sxi
• sxm
• sxw
• txt
• wb2
• x3f
• xla
• xlam
• xll
• xlm
• xls
• xlsb
• xlsm
• xlsx
• xlt
• xltm
• xltx
• xlw
• xml
• ycbcra
• zip

マルウェアは、以下のファイル名を使用し、暗号化されたファイルを改称します。

• {original file name and extension}.encrypted