TROJ_CRYPWALL.LC

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System Root%\{random file name}\{random file name}.exe
• %User Profile%\Start Menu\Programs\Startup\{random file name}.exe
• %Application Data%\{random file name}.exe

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、以下のフォルダを作成します。

• %System Root%\1009bbe4

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random file name} = "%System Root%\{random file name}\{random file name}.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random file name} = "%Application Data%\{random file name}.exe"

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\{random 1}

HKEY_CURRENT_USER\Software\{random 1}\
01123455567789D

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\{random 1}
{random character}k = "-----BEGIN PUBLIC KEY----- {public key}"

HKEY_CURRENT_USER\Software\{random 1}
{random character}u = "{description of what happened to your file}"

HKEY_CURRENT_USER\Software\{random 1}
{random character}r = "{explanation of what happened to your files in HTML}"

HKEY_CURRENT_USER\Software\{random 1}
{random character}v = "[DEFAULT] BASEURL=http://paytoc4gtpn5czl2.{BLOCKED}solutions.com/{personal ID number} [InternetShortcut] URL=http://paytoc4gtpn5czl2.{BLOCKED}solutions.com/{personal ID number}"

HKEY_CURRENT_USER\Software\{random 1}\
01123455567789D
{path} = "{data}"

作成活動

マルウェアは、以下のファイルを作成します。

• %System Root%\out.png
• D:\{folder}\HELP_DECRYPT.TXT
• D:\{folder}\HELP_DECRYPT.HTML
• D:\{folder}\HELP_DECRYPT.URL
• D:\{folder}\HELP_DECRYPT.PNG
• C:\{folder}\HELP_DECRYPT.TXT
• C:\{folder}\HELP_DECRYPT.HTML
• C:\{folder}\HELP_DECRYPT.URL
• C:\{folder}\HELP_DECRYPT.PNG

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}r.es
• http://{BLOCKED}ia.it
• {BLOCKED}5.164.184
• {BLOCKED}70.88
• {BLOCKED}167.140
• http://{BLOCKED}consultancy.com:{port}/{random}
• http://{BLOCKED}oard.com{port}/{random}

マルウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。