TROJ_CRYPWALL.XXUDO

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、実行後、自身を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
8b221bf9a = "%User Profile%\8b221bf9a\b37147068.exe"

他のシステム変更

マルウェアは、以下のファイルを削除します。

• %User Profile%\Application Data\8b221bf9a

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.)

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\SystemRestore
DisableSR = "1"

作成活動

マルウェアは、以下のファイルを作成します。

• %User Profile%\8b221bf9a\b37147068.exe
• %User Profile%\Application Data\9a3f1ae2
• %User Profile%\Internet Explorer\wnegp4yb.ss4
• %User Profile%\Internet Explorer\xa6643g3q9.ufaz6
• %User Profile%\Internet Explorer\HELP_YOUR_FILES.PNG
• %User Profile%\Microsoft\HELP_YOUR_FILES.PNG
• %User Profile%\Application Data\HELP_YOUR_FILES.PNG
• %Application Data%\Microsoft\Windows Media\9.0\87r65.xg2
• %Application Data%\Microsoft\Windows Media\9.0\HELP_YOUR_FILES.PNG
• %Application Data%\Microsoft\Windows Media\HELP_YOUR_FILES.PNG
• %Application Data%\Microsoft\HELP_YOUR_FILES.PNG
• %Application Data%\HELP_YOUR_FILES.PNG
• %User Profile%\Local Settings\HELP_YOUR_FILES.PNG
• %User Profile%\Templates\e8wye041.9g68y
• %User Profile%\Templates\9rrx9t.yx2im
• %User Profile%\Templates\ai1pvlb57.8nt
• %User Profile%\Templates\sdz2i5g67.u2
• %User Profile%\Templates\2xzdb.k4
• %User Profile%\Templates\l22kdfoqjb.s6y
• %User Profile%\Templates\443i0mk4e.j0ft
• %User Profile%\Templates\a22gs.6u8w
• %User Profile%\Templates\HELP_YOUR_FILES.PNG
• %User Profile%\HELP_YOUR_FILES.PNG
• %User Profile%\Internet Explorer\f792ytd.15rq
• %User Profile%\Internet Explorer\0oazcj66.7ot
• %User Profile%\Cookies\ar2y9c.dj6
• %User Profile%\Cookies\7k5q9.c1f
• %User Profile%\Cookies\mz343sy.e8i4o
• %User Profile%\Cookies\o0ftqdar.kyy4
• %User Profile%\Cookies\9htqkmnptd.ey1q
• %User Profile%\Cookies\45jg8xto4e.628
• %User Profile%\Cookies\HELP_YOUR_FILES.PNG
• %Application Data%\Microsoft\Windows Media\9.0\ezfwg3v4.f9
• %User Profile%\Templates\24qmuupq.kso3
• %User Profile%\Templates\m6u4ltm.3t2d
• %User Profile%\Templates\dvbe6.1m2fo
• %User Profile%\Templates\0gsxt4.y3
• %User Profile%\Templates\51beu8g.cf99t
• %User Profile%\Templates\k999l.jlk23
• %User Profile%\Templates\a5dxr7.hf9o0
• %User Profile%\Templates\44egx9.3b
• %System Root%\Documents and Settings\HELP_YOUR_FILES.PNG
• %System Root%\HELP_YOUR_FILES.PNG
• %Desktop%\HELP_YOUR_FILES.TXT
• %Desktop%\HELP_YOUR_FILES.HTML
• %Desktop%\HELP_YOUR_FILES.PNG
• %User Startup%\HELP_YOUR_FILES.TXT
• %User Startup%\HELP_YOUR_FILES.HTML
• %User Startup%\HELP_YOUR_FILES.PNG

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.. %System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.. %User Startup%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" 、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、" C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。.)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://atlanticinsulationservices.{BLOCKED}o.uk
• {BLOCKED}.4.38
• {BLOCKED}.54.98
• {BLOCKED}212.74
• {BLOCKED}3.90.124
• {BLOCKED}.10.138
• {BLOCKED}8.137.150

マルウェアは、実行後、自身を削除します。

このウイルス情報は、自動解析システムにより作成されました。