Ransom.MSIL.BLACKROUTER.THOAOGAI

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• "cmd.exe" /c vssadmin.exe delete shadows /all /quiet

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{product name} = {malware path}\{malware filename}

情報漏えい

マルウェアは、以下の情報を収集します。

• Processor ID
• MachineName
• OS
• CPU
• RAM
• IP
• LOCATION - sends the following link: https://www.ip-tracker.org/locator/ip-lookup.php?ip={ip address}
• Payout

情報収集

マルウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• https://api.{BLOCKED}am.org/bot{value1}/sendMessage?chat_id={value2}&text={value3}

その他

マルウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• http://icanhazip.com/

マルウェアは、以下のメッセージボックスを表示します。

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• .$$$
• .$DB
• .001
• .001
• .002
• .003
• .113
• .3da
• .3dm
• .3ds
• .3tf
• .3ws
• .73B
• .__A
• .__B
• .AB
• .ABA
• .ABBU
• .ABF
• .ABK
• .ABU
• .ABU1
• .accdb
• .ACP
• .ACR
• .ADI
• .AEA
• .AFI
• .ARC
• .ARC
• .ARC
• .AS4
• .ASD
• .asf
• .ASHBAK
• .asm
• .asp
• .aspx
• .ASV
• .ASVX
• .ATE
• .ATI
• .avi
• .BA6
• .BA7
• .BAC
• .backup
• .backup
• .BACKUPDB
• .bak
• .BAK2
• .BAK3
• .BAKX
• .BAK~
• .bat
• .BBB
• .BBZ
• .BCK
• .BCKP
• .BCM
• .BDB
• .BFF
• .BIF
• .BIFX
• .BK1
• .BKC
• .BKF
• .BKP
• .BKUP
• .BKZ
• .BLEND1
• .BLEND2
• .BM3
• .BMK
• .bmp
• .BOOKEXPORT
• .BPA
• .BPB
• .BPM
• .BPN
• .BPS
• .BUP
• .c
• .CAA
• .cat
• .CBK
• .CBS
• .CBU
• .CENON~
• .chm
• .CK9
• .class
• .cmd
• .CMF
• .cod
• .combo
• .config
• .cpp
• .CRDS
• .crt
• .cs
• .CSD
• .CSM
• .csr
• .csv
• .DA0
• .DASH
• .DBA
• .dbf
• .DBK
• .der
• .dif
• .DIM
• .DIY
• .DNA
• .doc
• .docm
• .docx
• .dot
• .dotm
• .DOV
• .DPB
• .DSB
• .DSS
• .dvtel
• .dwg
• .exe
• .FBC
• .FBF
• .FBK
• .FBU
• .FBW
• .fla
• .flv
• .gif
• .glf
• .glf
• .grd
• .gst
• .h
• .hiv
• .htm
• .ib
• .ibk
• .ico
• .id
• .ind
• .iso
• .jar
• .java
• .jpeg
• .jpg
• .js
• .jsp
• .key
• .ldf
• .lic
• .log
• .m3u
• .m4u
• .manifest
• .map
• .max
• .mdb
• .mdf
• .mid
• .mkv
• .mo
• .mov
• .mp3
• .mp4
• .mpeg
• .mpg
• .msg
• .ndf
• .netmodule
• .nib
• .odb
• .odp
• .ods
• .odt
• .p12
• .pas
• .pdf
• .pdf
• .pem
• .pfx
• .php
• .pkg
• .plist
• .png
• .pot
• .pps
• .ppsm
• .ppsx
• .ppt
• .pptm
• .pptx
• .prj
• .prm
• .psd
• .pst
• .py
• .rar
• .raw
• .resources
• .rss
• .rtf
• .sbo
• .sch
• .setup
• .sh
• .sig
• .sldm
• .sldx
• .slk
• .spm
• .sql
• .sqlite
• .sqlite3
• .sqlitedb
• .sres
• .stc
• .std
• .sti
• .strings
• .stw
• .svg
• .swf
• .swidtag
• .sxc
• .sxd
• .sxi
• .sxm
• .sxw
• .tar
• .tgz
• .tib
• .tif
• .tiff
• .tlb
• .ttf
• .txt
• .vb
• .vbs
• .vdi
• .version
• .vib
• .vmdk
• .vob
• .wav
• .wb2
• .wk1
• .wks
• .wma
• .wmv
• .xlc
• .xlm
• .xls
• .xlsb
• .xlsm
• .xlsx
• .xlt
• .xltm
• .xltx
• .xlw
• .Zhon
• .zip

ランサムウェアの不正活動

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .BlackRouter

マルウェアが作成する以下のファイルは、脅迫状です。

• {Directory}\ReadME-BlackRouter.txt

マルウェアは、以下の内容を含む脅迫状のテキストファイルを残します。

• All your data has been locked us. You want to return? Contact to: {BLOCKED}outer@live.com Your Personal KEY: {key}