Ransom.MSIL.CREEPY.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成し実行します。

• %Application Data%\guard.exe -> Detected as Ransom.MSIL.CREEPY.A and is used to drop copies of guard.exe and to terminate different processes

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のプロセスを追加します。

• %System%\cmd.exe "/C NetSh Advfirewall set allprofiles state off"

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、以下のフォルダを作成します。

• %All Users Profile%\Datas
• %AppDataLocal%\Docs
• %Application Data%\eu29
• %User Temp%\Traces
• %User Temp%\powkdsx

(註：%All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
creepyranware = {malware full path}

作成活動

マルウェアは、以下のファイルを作成します。

• %All Users Profile%\Datas\guard.exe
• %AppDataLocal%\guard.exe
• %Application Data%\eu29\guard.exe
• %User Temp%\guard.exe
• %User Temp%\powkdsx\guard.exe

(註：%All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://{BLOCKED}ware.net/enchandle.php?emails=creepyadmin

その他

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
GDIPlus
FontCachePath = %AppDataLocal%

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableTaskMgr = 1

マルウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• www.google.com

マルウェアは、以下を実行します。

• It terminates all processes that contains any of the following strings
  • taskmgr
  • ntrtscan
  • tmccsf
  • tmlisten
  • anydesk
  • teamviewer
  • sae
  • resourcehacker
  • die
  • decompil
  • dissem
  • dnspy
  • simpleassembly
  • ollydbg
  • x32dbg
  • x64dbg
  • de4dot
  • peek
  • fiddler
  • wireshark
  • httpanalyzer
  • httpdebuggerui
  • httpde
  • memoryhook
  • olly
  • megadu
  • de4d
  • confuser
  • sndtool
  • simpleassemblyexplorer
  • netflowanalyzer
  • octosniff
  • electrosniifer
  • consolesniffer
  • smsniff
  • httpnetworksniffer
  • burpsuite
  • sniffer
  • taskmanager
  • hack
  • killer
  • defender
  • anti

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• guard
• creepyr

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• Program files
• Program Files(x86)
• ProgramData
• Microsoft
• $Recycle
• Windows

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• [{system key}][{ransom email}].creepy

マルウェアが作成する以下のファイルは、脅迫状です。

• %User Temp%\creepyransowareencryptedyourfiles.exe
  
• %System Root%\READ ME ASAP.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .creepy
• .sys