TROJ_ENCRYPTED.A

マルウェアは、感染コンピュータ上で、特定の感染活動を実行します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Temp%\4b46etpwM3i3Uxj.exe

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。)

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CLASSES_ROOT\.ENCRYPTED!!!

HKEY_CLASSES_ROOT\QVWTIJBJKUJDOEN

マルウェアは、以下のレジストリ値を追加します。

HKEY_CLASSES_ROOT\.ENCRYPTED!!!
(default) = QVWTIJBJKUJDOEN

HKEY_CLASSES_ROOT\QVWTIJBJKUJDOEN
(default) = CRYPTED!

HKEY_CLASSES_ROOT\QVWTIJBJKUJDOEN\DefaultIcon
(default) = %User Temp%\4b46etpwM3i3Uxj.exe,0

HKEY_CLASSES_ROOT\QVWTIJBJKUJDOEN\shell\
open\command
(default) = %User Temp%\4b46etpwM3i3Uxj.exe

その他

マルウェアは、以下のメッセージボックスを表示します。

マルウェアは、以下の感染活動を実行します。

• Searches for following file types in all drives:
  • *.zip
  • *.rar
  • *.jpg
  • *.jpeg
  • *.psd
  • *.cdr
  • *.dwg
  • *.max
  • *.bmp
  • *.gif
  • *.png
  • *.doc
  • *.docx
  • *.xls
  • *.xlsx
  • *.ppt
  • *.pptx*.txt
  • *.pdf
  • *.djvu
  • *.htm
  • *.html
  • *.mdb
  • *.cer
  • *.pfx
  • *.kwm
  • *.pwm
  • *.mdf
  • *.dbf
  • *.odt
  • *.vob
  • *.mov
  • *.mpeg
  • *.mpg
  • *.flv
  • *.avi
  • *.wmv
  • *.divx
  • *.mkv
  • *.wav
  • *.flac
  • *.pst
• Encrypts found files and renames them using the following format:
  • {original file name}.{extension}.ENCRYPTED!!!