TROJ_CRYPTOX.A

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、以下のリモートサイトからダウンロードされ、コンピュータに侵入します。

• {BLOCKED}la7qwv37qj.onion
• {BLOCKED}la7qwv37qj.{BLOCKED}b.org

インストール

マルウェアは、以下のファイルを作成します。

• %Application Data%\tox.log - list of encrypted files.

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、以下の無害なファイルを作成します。

• %User Startup%\tox.html - Ransom Note

(註：%User Startup%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" 、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、" C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。.)

マルウェアは、以下のフォルダを作成します。

• %Application Data%\tox_tor

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• toxcrypt

自動実行方法

マルウェアは、Windows起動時に自動実行されるよう＜User Startup＞フォルダ内に以下のファイルを作成します。

• %User Startup%\Tox.exe - copy of itself.

(註：%User Startup%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" 、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、" C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。.)

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。

• http://www.{BLOCKED}l.com/open_source/?download=curl_742_1.zip
• http://{BLOCKED}t.{BLOCKED}ject.org/torbrowser/4.5.1/tor-win32-0.2.6.7.zip

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}nkssujglja.onion
• http://{BLOCKED}dxg64t5wnt.onion
• http://{BLOCKED}6jut2rupu4.onion

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• .txt
• .odt
• .ods
• .odp
• .odm
• .odb
• .doc
• .docx
• .docm
• .wps
• .xls
• .xlsx
• .xlsm
• .xlsb
• .xlk
• .ppt
• .pptx
• .pptm
• .mdb
• .accdb
• .pst
• .dwg
• .dxf
• .dxg
• .wpd
• .indd
• .cdr
• .jpg
• .jpe
• .jpeg
• .dng
• .arw
• .mef
• .mrw
• .nef
• .nrw
• .orf
• .raf
• .raw
• .rwl
• .ptx
• .pef
• .srw
• .der
• .cer
• .rtf
• .mdf
• .dbf
• .psd
• .pdd
• .eps
• .crt
• .pem
• .pfx
• .pdf
• .odc
• .srf
• .bay
• .crw
• .dcr
• .kdc
• .erf
• .png
• .xml
• .sql
• .php
• .asp
• .aspx
• .css
• .cpp
• .hpp
• .java
• .class
• .veg
• .aep
• .aepx
• .blend
• .prproj
• .cad
• .tif
• .sitx
• .sit
• .rmvb
• .bmp
• .pps
• .pub
• .qbb
• .swf
• .asf
• .dss
• .qxd
• .cdl
• .mswmm
• .eml
• .csv

マルウェアは、以下のファイル名を使用し、暗号化されたファイルを改称します。

• {original filename and extension}.toxcrypt