Ransom.MSIL.COBRALOCKER.B

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• "C:\Windows\System32\cmd.exe" /k color 47 && takeown /f C:\bootmgr && icacls C:\bootmgr /grant %username%:F && attrib -h -s -r C:\bootmgr && del C:\bootmgr && exit

他のシステム変更

マルウェアは、以下のファイルを削除します。

• %System Root%\bootmgr
• %Desktop%\desktop.ini
• %User Profile%\Downloads\desktop.ini
• %User Profile%\Pictures\desktop.ini
• %User Profile%\Documents\desktop.ini

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\Desktop" です。. %User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。)

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableTaskMgr = 1

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableRegistryTools = 1

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Shell = empty

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• cmd
• regedit
• Processhacker
• sdclt
• powershell

その他

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System

マルウェアは、以下を実行します。

• It encrypts files found in the following directories:
  
  • %Desktop%
  • %User Profile%\Downloads
  • %User Profile%\Pictures
  • %User Profile%\Documents
• Upon execution, it will display the following image:
  
  followed by a message of:
  
  Clicking "No" won't terminate the process but if "Yes" is selected, it will display the following message box:
  
  After selecting "OK", it will now continue with its malicious routine and will now display the following window which serves as its ransom note written in Russian where a KEY is required for the process to terminate:
  
• If an invalid key was entered on the ransom note, it will display the following message box:
  
  If a valid key was entered, it will display the following message box and will terminate the process and shutdown the machine afterwards.