PE_NESHTA.BMF

ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。

侵入方法

ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ウイルスは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %AppDataLocal%\{Malware Filename}.exe
• %Common Startup%\{Malware Filename}.exe

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。. %Common Startup%フォルダは、すべてのユーザのスタートアップフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\All Users\Start Menu\Programs\Startup" です。また、Windows Vista、7、8の場合、通常 "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup" です。)

ウイルスは、以下のファイルを作成します。

• %User Temp%\{Generated ID}\{Malware Filename}.exe
• %Windows%\svchost.com

ウイルスは、以下のプロセスを追加します。

• %User Temp%\{Generated ID}\{Malware Filename}.exe
• %System%\cmd.exe
• vssadmin  delete shadows /all /quiet
• netsh  advfirewall set currentprofile state off
• netsh  firewall set opmode mode=disable
• wmic  shadowcopy delete
• bcdedit  /set {default} bootstatuspolicy ignoreallfailures
• bcdedit  /set {default} recoveryenabled nowbadmin  delete catalog -quiet
• %System%\mshta.exe %Desktop%\info.hta

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\Desktop" です。)

ウイルスは、以下のフォルダを作成します。

• %User Temp%\{Generated ID}

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

自動実行方法

ウイルスは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{Malware Filename} = %AppDataLocal%\{Malware Filename}.exe

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{Malware Filename} = %AppDataLocal%\{Malware Filename}.exe

ウイルスは、Windows起動時に自動実行されるよう＜Common Startup＞フォルダ内に以下のファイルを作成します。

• %Common Startup%\{Malware Filename}.exe

(註：%Common Startup%フォルダは、すべてのユーザのスタートアップフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\All Users\Start Menu\Programs\Startup" です。また、Windows Vista、7、8の場合、通常 "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup" です。)

他のシステム変更

ウイルスは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
exefile\shell\open\
command
(Default) = %Windows%\svchost.com "%1" %*

ランサムウェアの不正活動

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .id[{Volume Serial Number}-{Generated ID}].[{BLOCKED}store@onionmail.org].faust

マルウェアが作成する以下のファイルは、脅迫状です。

• %Desktop%\info.hta
• %Desktop%\info.txt
• {Encrypted Drive}\info.hta
• {Encrypted Drive}\info.txt

(註：%Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\Desktop" です。)