Ransom.BAT.ZARLOCK.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• chcp 866 → changes console code page to 866 (Russian)
• %User Temp%\Rar.exe a -dw -hp{password} "{File Path}\{File Name}.{File Extension} .zarlock@{BLOCKED}l.cc" "{File Path}\{File Name}.{File Extension} "
• %User Temp%\gpg.exe --import %User Temp%\brg.brg
• %User Temp%\gpg.exe -r y1688 --yes -q --no-verbose --trust-model always -o %User Temp%\zarlock.KEY -e %User Temp%\rost.doc
• wscript.exe %User Temp%\sh.vbs → contains command to delete shadow copies
• %User Temp%\zarlock_Help_decrypt.html → contains ransom note

他のシステム変更

マルウェアは、以下のファイルを削除します。

• %User Temp%\brk.brk
• %User Temp%\libassuan-0.dll
• %User Temp%\libgpg-error-0.dll
• %User Temp%\libgcrypt-20.dll
• %User Temp%\libsqlite3-0.dll
• %User Temp%\libnpth-0.dll
• %User Temp%\zlib1.dll
• %User Temp%\gpgconf.exe
• %User Temp%\gpg.exe
• %User Temp%\sh.vbs
• %User Temp%\rtp.bat
• %User Temp%\rar.exe
• %User Temp%\brk.bat

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

作成活動

マルウェアは、以下のファイルを作成します。

• %User Temp%\rost.doc → contains password of compressed file
• %User Temp%\Flag.txt → contains list of target files
• %User Temp%\zarlock.KEY → encrypted rost.doc

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}.{BLOCKED}.120.31/ok

ランサムウェアの不正活動

マルウェアは、以下の文字列を含むファイルを暗号化します。

• .xls
• .doc
• .xlsx
• .docx
• .pdf
• .rtf
• .cdr
• .psd
• .dwg
• .mdb
• .dbf
• .sqlite
• .jpg
• .jpeg
• .backup
• .rar
• .zip
• .sql
• .sap
• .GoBD

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .zarlock@{BLOCKED}l.cc

マルウェアが作成する以下のファイルは、脅迫状です。

• %User Temp%\zarlock_Help_decrypt.txt
  
• %User Temp%\zarlock_Help_decrypt.html