Ransom.JS.GANDCRAB.MUVEA

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成し実行します。

• %Application Data%\mkltkpfcp.log

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のプロセスを追加します。

• powershell.exe -ExecutionPolicy Bypass -Command "IEX (([System.IO.File]::ReadAllText('%Application Data%\mkltkpfcp.log')).Replace('#',''));Start-Sleep -s 1000000;"
• "%System%\wbem\wmic.exe" shadowcopy delete

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

他のシステム変更

マルウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\keys_data\
data
Public = {hex values}

HKEY_LOCAL_MACHINE\SOFTWARE\keys_data\
data
Private = {hex values}

HKEY_LOCAL_MACHINE\SOFTWARE\ex_data\
data
ext = {hex values}

マルウェアは、以下のレジストリキーを変更します。

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %User Temp%\pidor.bmp

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://www.{BLOCKED}rsport.biz
• http://www.{BLOCKED}nau.biz
• http://www.{BLOCKED}m.com

ランサムウェアの不正活動

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .unceq

マルウェアが作成する以下のファイルは、脅迫状です。

• %User Temp%\pidor.bmp

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)