Trend Micro Security

TROJ_CRYPCTB.YWE

2015年6月3日
 解析者: Pearl Charlaine Espejo   
 別名:

Trojan-Ransom.Win32.Onion.dw (Kaspersky); Trojan.CTBLocker (Malwarebytes); Ransom-CTB!A9B023E2C8DF (McAfee); Ransom:Win32/Critroni.B (Microsoft); Trojan.Cryptolocker.E (Symantec)

 プラットフォーム:

Windows

 危険度:
 ダメージ度:
 感染力:
 感染確認数:
 情報漏えい:


  • マルウェアタイプ: トロイの木馬型
  • 破壊活動の有無: なし
  • 暗号化: はい
  • 感染報告の有無: はい

  概要

感染経路 インターネットからのダウンロード, 他のマルウェアからの作成

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

  詳細

ファイルサイズ 925,184 bytes
タイプ EXE
メモリ常駐 はい
発見日 2015年5月12日
ペイロード ファイルの作成, ファイルの変更

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

  • %User Temp%\{random filename}.exe

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

マルウェアは、以下のファイルを作成します。

  • %ProgramData%\{randomly selected folder}\{random filename} (Windows Vista and above)
  • %All Users Profile%\Application Data\{randomly selected folder}\{random filename} (Windows XP and below)
  • %All Users Profile%\{random filename}.html (Windows Vista and above)
  • %ProgramData%\{random filename}.html (Windows Vista and above)
  • %All Users Profile%\Application Data\{random filename}.html (Windows XP and below)
  • %User Profile%\Documents\!Decrypt-All-Files-{random 7 characters}.bmp (Windows Vista and above)
  • %User Profile%\My Documents\!Decrypt-All-Files-{random 7 characters}.bmp (Windows XP and below)
  • %User Profile%\Documents\!Decrypt-All-Files-{random 7 characters}.txt (Windows Vista and above)
  • %User Profile%\My Documents\!Decrypt-All-Files-{random 7 characters}.txt (Windows XP and below)

(註：%ProgramData%フォルダは、Windows Vista および 7 の場合、通常、"C:\ProgramData"、Windows 2000、XP (32ビット)、Server 2003 の場合、"C:\Program Files"、Windows XP (64ビット) の場合、"C:\Program Files (x86)" です。. %All Users Profile%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\All Users”、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\ProgramData” です。.. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.)

マルウェアは、以下のプロセスにコードを組み込みます。

  • svchost.exe

自動実行方法

マルウェアは、以下のファイルを作成します。

  • %System%\Tasks\{random filename} (Windows Vista and above)
  • %Windows%\Tasks\{random filename}.job (Windows XP and below)

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

他のシステム変更

マルウェアは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %User Profile%\{My Documents or Documents}\!Decrypt-All-Files-{random 7 characters}.bmp

(註：変更前の上記レジストリ値は、「{User Defined}」となります。)

HKEY_CURRENT_USER\Control Panel\Desktop
TileWallpaper = "0"

(註：変更前の上記レジストリ値は、「"User Defined"」となります。)

HKEY_CURRENT_USER\Control Panel\Desktop
WallpaperStyle = "0"

(註：変更前の上記レジストリ値は、「"User Defined"」となります。)

その他

マルウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

  • http://ip.telize.com

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

  • http://{BLOCKED}4qk625n6.onion.lt
  • http://{BLOCKED}4qk625n6.onion.gq
  • http://{BLOCKED}4qk625n6.tor2web.fi
  • http://{BLOCKED}4qk625n6.tor2web.org
  • http://{BLOCKED}4qk625n6.tor2web.blutmagie.de
  • http://{BLOCKED}4qk625n6.onion.cab

マルウェアは、以下の拡張子をもつファイルを暗号化します。

  • 3fr
  • 7z
  • accdb
  • ai
  • arw
  • bas
  • bay
  • blend
  • cdr
  • cer
  • cpp
  • cr2
  • crt
  • c
  • crw
  • cs
  • db
  • dbf
  • dcr
  • dds
  • dd
  • der
  • dng
  • docm
  • docx
  • doc
  • dwg
  • dxf
  • dxg
  • eps
  • erf
  • groups
  • indd
  • jpe
  • jpeg
  • jpg
  • js
  • kdc
  • kwm
  • mdb
  • mdf
  • md
  • mef
  • mrw
  • nef
  • nrw
  • odb
  • odm
  • odp
  • ods
  • odt
  • orf
  • p12
  • p7b
  • p7c
  • pdd
  • pdf
  • pef
  • pem
  • pfx
  • php
  • pl
  • pptm
  • ppt
  • pptx
  • psd
  • pst
  • ptx
  • pwm
  • py
  • r3d
  • raf
  • rar
  • raw
  • rtf
  • rw2
  • rwl
  • safe
  • sql
  • srf
  • srw
  • txt
  • vsd
  • wb2
  • wpd
  • wps
  • xlk
  • xlsm
  • xls
  • xlsb
  • xlsx
  • zip

マルウェアは、以下のファイル名を使用し、暗号化されたファイルを改称します。

  • {original file name and extension}.{random 7 characters}

  対応方法

対応検索エンジン: 9.750
初回 VSAPI パターンバージョン 11.640.06
初回 VSAPI パターンリリース日 2015年4月30日
VSAPI OPR パターンバージョン 11.641.00
VSAPI OPR パターンリリース日 2015年5月1日

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 3

Windowsをセーフモードで再起動します。

[ 詳細 ]

手順 4

以下のファイルを検索し削除します。

[ 詳細 ]
コンポーネントファイルが隠しファイル属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • %ProgramData%\{randomly selected folder}\{random filename}   (Windows Vista and above)
  • %All Users Profile%\Application Data\{randomly selected folder}\{random filename}   (Windows XP and below)
  • %All Users Profile%\{random filename}.html   (Windows Vista and above)
  • %ProgramData%\{random filename}.html   (Windows Vista and above)
  • %All Users Profile%\Application Data\{random filename}.html   (Windows XP and below)
  • %System%\Tasks\{random filename}   (Windows Vista and above)
  • %WINDOWS%\Tasks\{random filename}.job   (Windows XP and below)
  • !Decrypt-All-Files-{random 7 characters}.bmp
  • !Decrypt-All-Files-{random 7 characters}.txt

手順 5

コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「TROJ_CRYPCTB.YWE」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

手順 6

デスクトッププロパティを修正します。

[ 詳細 ]


ご利用はいかがでしたか？　アンケートにご協力ください