Ransom.MSIL.CORVINA.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ネットワーク共有フォルダを介して感染活動をします。その際、利用可能なネットワーク共有フォルダ内に自身のコピーを作成します。

特定のファイル拡張子を持つファイルを暗号化します。 身代金要求文書のファイルを作成します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %AppDataLocal%\{filename}{file extension}
• filename can be any of the following:
  • lsass
  • csrss
  • avp
  • winlogon
  • cacls
  • cftmon
  • GrooveMonitor
  • scvhost
  • inetinf
  • spoolsv
  • drwtsn
  • MSServer
  • rundll32
  • dumprep
  • Cmdlg
  • msiexec
  • ccEtvMgr
  • wuauclt
  • osk
  • sihost
• file extension can be any of the following:
  • .exe
  • .src

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• 2A2B2425586352797054307225242B2A

自動実行方法

マルウェアは、Windows起動時に自動実行されるよう＜User Startup＞フォルダ内に以下のファイルを作成します。

• 0f81f97a-aaa6-4401-ae29-184e4f718009.lnk - dropped copy
• c4e69908-3cf5-42d4-b396-ca66b478f349.lnk - ransom note

感染活動

マルウェアは、ネットワーク共有フォルダを介して感染活動をします。その際、利用可能なネットワーク共有フォルダ内に自身のコピーを作成します。

情報漏えい

マルウェアは、以下の情報を収集します。

• Machine Name
• User Name
• Current date and time
• Hardware identification
• Randomly generated password

情報収集

マルウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• https://n2019cov.{BLOCKED}hostapp.com/prueba.php

その他

マルウェアは、以下を実行します。

• Encrypts files in all the drives except files in protected folders
• Checks if:
  • VM is present
  • Operating system is Windows XP
  • Debugger is Attached
  • SbieDll.dll is loaded
  • vboxhook.dll is in environment variable
  • If any of the conditions above is met it starts the following process:
  • cmd.exe /c ping0 -n 2 & del\{malware path and filename}
  • ping 0 -n 2
• Drops copies of itself via shared network:
  • %SystemRoot%\User\{string1}{string2}
  • string1 can be any of the following:
  • video
  • foto
  • amor
  • sexo
  • secreto
  • string2 can be any of the following:
  • .pif
  • .com
  • .scr

ランサムウェアの不正活動

以下の拡張子を持つファイルを暗号化します：$$ DATA $$

• .doc
• .docx
• .xslx
• .xls
• .pdf
• .jpg
• .bmp
• .ppt
• .pptx
• .txt
• .gif
• .jpeg
• .png
• .psd
• .dwg

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .P4WN3D

マルウェアが作成する以下のファイルは、脅迫状です。

• %AppDataLocal%\1nF0rM@t1On.txt