Ransom.MSIL.CHAOS.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

特定のフォルダ内のファイルを暗号化します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• {Available Drive}\surprise.exe

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Microsoft Store = %Application Data%\svchost.exe

マルウェアは、＜User Startup＞フォルダ内に、自身のコピーに誘導する以下のショートカットを作成します。これにより、Windows起動時に自身のコピーが自動実行されます。

• %User Startup%\svchost.url

(註：%User Startup%フォルダは、現在ログオンしているユーザのスタートアップフォルダです。Windows 98およびMEの場合、通常 "C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows NTの場合、通常 "C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows 2003(32-bit)、XP、2000(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows Vista、7、8、 8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。)

その他

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• .txt
• .jar
• .dat
• .contact
• .settings
• .doc
• .docx
• .xls
• .xlsx
• .ppt
• .pptx
• .odt
• .jpg
• .png
• .csv
• .py
• .sql
• .mdb
• .php
• .asp
• .aspx
• .html
• .htm
• .xml
• .psd
• .pdf
• .dll
• .cs
• .mp3
• .mp4
• .dwg
• .zip
• .rar
• .mov
• .rtf
• .bmp
• .mkv
• .avi
• .apk
• .lnk
• .iso
• .7-zip
• .ace
• .arj
• .bz2
• .cab
• .gzip
• .lzh
• .tar
• .jpeg
• .xz
• .mpeg
• .mp3
• .mpg
• .core
• .pdb
• .ico
• .pas
• .db
• .wmv
• .mp3
• .cer
• .bak
• .backup
• .accdb
• .bay
• .p7c
• .exif
• .m4a
• .wma
• .flv
• .sie
• .sum
• .ibank
• .wallet
• .css
• .js
• .rb
• .crt
• .xlsm
• .xlsb
• .7z
• .cpp
• .java
• .jpe
• .ini
• .blob
• .wps
• .docm
• .wav
• .3gp
• .webm
• .m4v
• .amv
• .m4p
• .svg
• .ods
• .bk
• .vdi
• .vmdk
• .jsp
• .json

ランサムウェアの不正活動

マルウェアは、以下のディレクトリ内で確認されたファイルを暗号化します。

• %User Profile%\Desktop
• %User Profile%\Links
• %User Profile%\Contacts
• %User Profile%\Desktop
• %User Profile%\Documents
• %User Profile%\Downloads
• %User Profile%\Pictures
• %User Profile%\Music
• %User Profile%\OneDrive
• %User Profile%\Saved Games
• %User Profile%\Favorites
• %User Profile%\Searches
• %User Profile%\Videos

(註：%User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。)

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• read_it.txt

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .{random string}

マルウェアは、以下の内容を含む脅迫状のテキストファイルを残します。

• %Application Data%\read_it.txt