Ransom.MSIL.JIGSAW.THEODBO

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

特定のファイル拡張子を持つファイルを暗号化します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\Frfx\firefox.exe

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のファイルを作成します。

• %AppDataLocal%\Drpbx\drpbx.exe
• %Application Data%\System32Work\EncryptedFileList.txt --> list of encrypted files
• %Application Data%\System32Work\Address.txt
• %Application Data%\System32Work\dr

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のプロセスを追加します。

• "%AppDataLocal%\Drpbx\drpbx.exe" {Malware Path}\{Malware Name}.exe

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
firefox.exe = %Application Data%\Frfx\firefox.exe

その他

マルウェアは、以下を実行します。

• It will delete files every 60 minutes.
• It will delete 1,000 files if the ransomware process is restarted.
• If payment has been made, it will drop the following file to delete itself:
  • {Malware Path}\DeleteItself.bat
• After its encryption routine, it will display a GUI as its ransom note:
  
• It encrypts files in all fixed and removable drives.

ランサムウェアの不正活動

以下の拡張子を持つファイルを暗号化します：$$ DATA $$

• .3dm
• .3g2
• .3gp
• .7zip
• .aaf
• .accdb
• .aep
• .aepx
• .aet
• .ai
• .aif
• .as
• .as3
• .asf
• .asp
• .asx
• .avi
• .bmp
• .c
• .class
• .cpp
• .cs
• .csv
• .dat
• .db
• .dbf
• .doc
• .docb
• .docm
• .docx
• .dotm
• .dotx
• .dwg
• .dxf
• .efx
• .eps
• .fla
• .flv
• .gif
• .h
• .htm
• .html
• .idml
• .iff
• .indb
• .indl
• .indt
• .inx
• .jar
• .java
• .jpeg
• .jpg
• .js
• .m3u
• .m3u8
• .m4u
• .max
• .mdb
• .mid
• .mkv
• .mov
• .mp3
• .mp4
• .mpa
• .mpeg
• .mpg
• .msg
• .pdb
• .pdf
• .php
• .pld
• .pmd
• .png
• .pot
• .potm
• .potx
• .ppam
• .ppj
• .pps
• .ppsm
• .ppsx
• .ppt
• .pptm
• .pptx
• .prel
• .prproj
• .ps
• .psd
• .py
• .ra
• .rar
• .raw
• .rb
• .rtf
• .sdf
• .ses
• .sldm
• .sldx
• .sql
• .svg
• .swf
• .tif
• .txt
• .vcf
• .vob
• .wav
• .wma
• .wmv
• .wpd
• .wps
• .xla
• .xlam
• .xll
• .xlm
• .xls
• .xlsb
• .xlsm
• .xlsx
• .xlt
• .xltm
• .xltx
• .xlw
• .xml
• .xqx
• .zip

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .zemblax