Ransom.MSIL.BLACKLEGION.THLOFBC

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Temp%\WmiPrvSE.exe

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のプロセスを追加します。

• %System%\schtasks.exe /Create /TN "GoogleUpdateTaskMachineCoreUA" /TR "{Malware File Path}\{Malware File Name}" /SC ONLOGON /RL HIGHEST /F /RU SYSTEM /RL HIGHEST /RL HIGHEST /RL HIGHEST /RP /NP /RL HIGHEST /RL HIGHEST /RP /NP /RU SYSTEM /RP /NP /RL HIGHEST /SD "Keeps your Google software up to date. If this task is disabled or stopped, your Google software will not be kept up to date, meaning security vulnerabilities that may arise cannot be fixed and features may not work. This task uninstalls itself when there is no Google software using it."
• %System%\cmd.exe /c vssadmin.exe delete shadows /all /quiet

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
svchost = %User Temp%\WmiPrvSE.exe

その他

マルウェアは、以下を実行します。

• It checks the size of the file to encrypt.
  • If its size is greater than 500,000,000 bytes, it will only encrypt the first half of the file.
  • If it is less than or equal 500,000,000 bytes, it will encrypt the whole file.
• It sets the attributes of the following items to Hidden:
  • {Malware File Path}\{Malware File Name}
  • %User Temp%\WmiPrvSE.exe

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

以下のスケジュールされたタスクを追加します：

• Name: GoogleUpdateTaskMachineCoreUA
• Trigger: At log on of any user
• Action: {Malware File Path}\{Malware File Name}

ランサムウェアの不正活動

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• C:\Windows
• DecryptNote

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .[{Volume Serial Number}].[BlackLegion@zohomail.eu].BlackLegion

マルウェアが作成する以下のファイルは、脅迫状です。

• It checks if %Desktop%\DecryptNote.txt exists.
  • If it does not exist:
    • %Desktop%\DecryptNote.txt
  • If it exist:
    • %Desktop%\DecryptNote-{Random}.txt
• It checks if {Available Drive}\DecryptNote.txt exists.
  • If it does not exist:
    • {Available Drive}\DecryptNote.txt
  • If it exist:
    • {Available Drive}\DecryptNote-{Random}.txt
• 

以下のファイル拡張子を持つファイルについては暗号化しません：

• .BlackLegion
• .dll
• .exe