TROJ_CRYPWALL.CT

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• %Windows%\syswow64\svchost.exe -k netsvcs
• vssadmin.exe Delete Shadows /All /Quiet
• bcdedit /set {default} recoveryenabled No
• bcdedit /set {default} bootstatuspolicy ignoreallfailures

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
81f2b94 = "%System Root%\81f2b948\81f2b948.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
*1f2b94 = "%System Root%\81f2b948\81f2b948.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
81f2b948 = "%Application Data%\81f2b948.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
*1f2b948 = "%Application Data%\81f2b948.exe"

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows NT\CurrentVersion\
SystemRestore
DisableSR = "1"

マルウェアは、以下のレジストリキーを削除します。

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Run\Windows Defender

作成活動

マルウェアは、以下のファイルを作成します。

• %System Root%\81f2b948
• %User Startup%\81f2b948.exe
• %System Root%\81f2b948\81f2b948.exe
• %Application Data%\81f2b948.exe

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %User Startup%フォルダは、現在ログオンしているユーザのスタートアップフォルダです。Windows 98およびMEの場合、通常 "C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows NTの場合、通常 "C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows 2003(32-bit)、XP、2000(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows Vista、7、8、 8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}rnalip.com/raw
• http://{BLOCKED}-nex.com/img/img2.php?x=z33btow5j159h
• http://{BLOCKED}ebay.com/img2.php?l=z33btow5j159h
• http://{BLOCKED}acking.com/img1.php?a=z33btow5j159h
• http://{BLOCKED}ripalms.com/cgi-bin/img3.php?n=z33btow5j159h
• http://{BLOCKED}g.net/img3.php?b=z33btow5j159h
• http://{BLOCKED}r.com/img5.php?f=z33btow5j159h
• http://{BLOCKED}ta.com/img4.php?j=z33btow5j159h
• http://{BLOCKED}ande.com/img3.php?z=z33btow5j159h
• http://{BLOCKED}o.com/errors/img5.php?v=z33btow5j159h
• http://{BLOCKED}trocina.com/img5.php?e=z33btow5j159h
• http://{BLOCKED}9.com/img3.php?p=z33btow5j159h
• http://{BLOCKED}gberry.com/img4.php?g=z33btow5j159h
• http://{BLOCKED}tes.com/img5.php?f=z33btow5j159h
• http://{BLOCKED}na.com/img4.php?g=z33btow5j159h
• http://{BLOCKED}k.com/img1.php?t=z33btow5j159h
• http://{BLOCKED}agai.com/img5.php?a=z33btow5j159h
• http://{BLOCKED}p.com/img2.php?u=z33btow5j159h
• http://{BLOCKED}-nex.com/img/img2.php?i=ub4d0mkgtj6h
• http://{BLOCKED}ebay.com/img2.php?q=ub4d0mkgtj6h
• http://{BLOCKED}acking.com/img1.php?c=ub4d0mkgtj6h
• http://{BLOCKED}ripalms.com/cgi-bin/img3.php?z=ub4d0mkgtj6h
• http://{BLOCKED}g.net/img3.php?t=ub4d0mkgtj6h
• http://{BLOCKED}r.com/img5.php?k=ub4d0mkgtj6h
• http://{BLOCKED}r.es
• http://{BLOCKED}ip.com
• http://{BLOCKED}-anken.com
• http://{BLOCKED}an.com
• http://{BLOCKED}frimovies.com
• http://{BLOCKED}y.com
• http://{BLOCKED}untoocho.com
• http://{BLOCKED}u.net
• http://hostneverdie.{BLOCKED}4.php
• http://{BLOCKED}nline.org
• http://{BLOCKED}bile.com
• http://{BLOCKED}il.com
• http://{BLOCKED}eise.com
• http://{BLOCKED}g.com
• http://{BLOCKED}ngtang.com

このウイルス情報は、自動解析システムにより作成されました。