RANSOM.MSIL.VAPOR.THAAAIAH

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

情報漏えい

マルウェアは、以下の情報を収集します。

• Date of Infection
• Total number of Infected files
• Username
• Machine name
• Processor Count
• OS Version
• OS Architecture
• IP Address of victim
• The following details about the local user's account:
  • Account type
  • Full name
  • If password is required to access the account
  • Security ID
  • Security ID Type
  • Account Status

情報収集

マルウェアは、SMTPを用いて、自身が収集した情報を以下のEメールアドレスに送信します。

• {BLOCKED}eenBot@reborn.com

その他

マルウェアは、以下のメッセージボックスを表示します。

ランサムウェアの不正活動

マルウェアは、以下の文字列を含むファイルを暗号化します。

• {All files}

マルウェアは、以下のディレクトリ内で確認されたファイルを暗号化します。

• %Desktop%
• %User Profile%\Pictures
• %User Profile%\Videos
• %User Profile%\Music
• %Application Data%
• %Cookies%

(註：%Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\Desktop" です。. %User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞" です。. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %Cookies%フォルダは、Internet Explorer（IE）のCookieフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Cookies"" です。Windows Vista、7の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Cookies"" です。Windows 8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Microsoft\Windows\INetCookies" です。)

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .Vapor