• Email
• Facebook
• Twitter
• Google+
• Linkedin

RANSOM_CRYPTLOCK.XXTE

---

• マルウェアタイプ: トロイの木馬型
• 破壊活動の有無: なし
• 暗号化:  
• 感染報告の有無: はい

---

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、Internet Explorer（IE）のゾーン設定を変更します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

---

  詳細

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Windows%\{Random Malware Filename}.exe

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、以下のコンポーネントファイルを作成します。

• {Encrypted File Path}\HOW_TO_RESTORE_FILES.txt -> Ransom Note
• {Encrypted File Path}\HOW_TO_RESTORE_FILES.html -> Ransom Note
• %All Users Profile%\Application Data\equpigymawodulyx\egojohaw
• %All Users Profile%\Application Data\equpigymawodulyx\elojesaw
• %All Users Profile%\Application Data\equpigymawodulyx\evojezaw
• %All Users Profile%\Application Data\equpigymawodulyx\igojawaw
• %All Users Profile%\Application Data\equpigymawodulyx\iqojibaw
• %All Users Profile%\Application Data\equpigymawodulyx\ivojywaw
• %All Users Profile%\Application Data\equpigymawodulyx\oqojehaw

(註：%All Users Profile%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\All Users”、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\ProgramData” です。.)

マルウェアは、以下のファイルを作成し実行します。

• %Desktop%\HOW_TO_RESTORE_FILES.txt -> Ransom Note
• %Desktop%\HOW_TO_RESTORE_FILES.html -> Ransom Note

(註：%Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.)

マルウェアは、以下のフォルダを作成します。

• %All Users Profile%\Application Data\equpigymawodulyx

(註：%All Users Profile%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\All Users”、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\ProgramData” です。.)

マルウェアは、以下のプロセスにコードを組み込みます。

• explorer.exe

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{random} = "%Windows%\{Random Malware Filename}.exe"

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Windows Messaging Subsystem

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Windows Messaging Subsystem\
Profiles

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\PhishingFilter
EnabledV8 = 0

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\PhishingFilter
EnabledV9 = 0

Webブラウザのホームページおよび検索ページの変更

マルウェアは、IEのゾーン設定を変更します。

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}o.net/plain
• http://{BLOCKED}yip.com/text
• http://{BLOCKED}rnalip.com/raw
• http://{pseudorandom domain name}.{BLOCKED}stes.net:443

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• .ACL
• .ACT
• .ade
• .adp
• .ADP
• .AED
• .AFA
• .ALL
• .AMD
• .ANG
• .ANI
• .AON
• .app
• .ARS
• .asp
• .ATS
• .AU
• .AUD
• .AVI
• .AWG
• .AZM
• .BAM
• .bas
• .bat
• .BBD
• .BDT
• .BEF
• .BGL
• .BHD
• .BIF
• .BIN
• .BMD
• .BMP
• .BND
• .BOB
• .BOV
• .BRL
• .BSD
• .BTN
• .BWP
• .BYB
• .BZD
• .CAB
• .CAD
• .CAT
• .cer
• .CGM
• .CHF
• .CHK
• .chm
• .CLF
• .CLP
• .cmd
• .CNV
• .CNY
• .com
• .COM
• .COP
• .cpl
• .CPL
• .CRC
• .crt
• .csh
• .CUP
• .CUR
• .CVE
• .CYP
• .CZK
• .DEM
• .der
• .DIC
• .DJF
• .DKK
• .DLL
• .DOP
• .DRV
• .DZD
• .ECS
• .ECV
• .EEK
• .EGP
• .ESP
• .ETB
• .EUR
• .exe
• .EXE
• .FFA
• .FFL
• .FFO
• .FFX
• .FIM
• .FJD
• .FKP
• .FLT
• .FON
• .FRF
• .fxp
• .GBP
• .GHC
• .GID
• .GIF
• .GIP
• .GMD
• .GNF
• .GRD
• .GTQ
• .GWP
• .GYD
• .HKD
• .hlp
• .HLP
• .HNL
• .HRK
• .hta
• .HTG
• .HUF
• .ICM
• .ICO
• .IDR
• .IEP
• .ILS
• .inf
• .INR
• .ins
• .IQD
• .IRR
• .ISK
• .isp
• .ITL
• .its
• .JMD
• .JOD
• .JPEG
• .JPG
• .JPY
• .js
• .jse
• .KAF
• .KES
• .KGS
• .KHR
• .KMF
• .KPW
• .KRW
• .ksh
• .KWD
• .KYD
• .KZT
• .LAK
• .LBP
• .LEX
• .LKR
• .lnk
• .LRD
• .LSL
• .LTL
• .LUF
• .LVL
• .LYD
• .mad
• .MAD
• .maf
• .mag
• .mam
• .MAP
• .maq
• .mar
• .mas
• .mat
• .mau
• .mav
• .maw
• .mda
• .mdb
• .mde
• .MDL
• .mdt
• .mdw
• .mdz
• .MGF
• .MKD
• .MMF
• .MMK
• .MNT
• .MOP
• .MOV
• .MRO
• .msc
• .msh
• .msh1
• .msh1xml
• .msh2
• .msh2xml
• .mshxml
• .msi
• .msp
• .mst
• .MTL
• .MUR
• .MVR
• .MWK
• .MXN
• .MYR
• .MZM
• .NAD
• .NGN
• .NIO
• .NLG
• .NLS
• .NOK
• .NPR
• .NSF
• .NTD
• .NZD
• .OBJ
• .OCX
• .OLB
• .OMR
• .ops
• .PAB
• .PAR
• .pcd
• .PCS
• .PDB
• .PEN
• .PGK
• .PHP
• .pif
• .PKR
• .plg
• .PLN
• .prf
• .prg
• .PS
• .ps1
• .ps1xml
• .ps2
• .ps2xml
• .psc1
• .psc2
• .pst
• .PST
• .PTE
• .PYG
• .QAR
• .reg
• .RON
• .RUR
• .RWF
• .SAR
• .SBD
• .scf
• .scr
• .SCR
• .SCR
• .sct
• .SDD
• .SDP
• .SEK
• .SEQ
• .SGD
• .shb
• .SHP
• .shs
• .SIT
• .SKK
• .SLL
• .SOS
• .SRG
• .STD
• .SVC
• .SYP
• .SYS
• .SZL
• .TAR
• .THB
• .TJR
• .TMM
• .tmp
• .TMP
• .TND
• .TOP
• .TPE
• .TRL
• .TTC
• .TTD
• .TTF
• .TZS
• .UAH
• .UGX
• .url
• .URL
• .USD
• .USN
• .USS
• .UYU
• .UZS
• .vb
• .vbe
• .vbs
• .VBX
• .VEB
• .VND
• .vsmacros
• .vsw
• .VUV
• .VXD
• .WAV
• .WMF
• .ws
• .wsc
• .wsf
• .wsh
• .WST
• .XAB
• .XAF
• .XAG
• .XAU
• .XB5
• .XBA
• .XBB
• .XBC
• .XCD
• .XDR
• .XEU
• .XFO
• .XFU
• .xnk
• .XOF
• .XPD
• .XPF
• .XPT
• .XRE
• .XTS
• .XXX
• .YER
• .YUN
• .ZAL
• .ZAR
• .ZIP
• .ZMK
• .ZRN
• .ZWD

マルウェアは、以下のファイル名を使用し、暗号化されたファイルを改称します。

• {Original Filename}.encrypted

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください