Ransom.MSIL.WAREBAD.THLOFBC

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

特定のフォルダ内のファイルを暗号化します。 身代金要求文書のファイルを作成します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\{8 random alphanumeric}.{3 random alphanumeric}.ps1 → ransomware configuration
• %User Temp%\{8 random alphanumeric}.{3 random alphanumeric}.psm1 → ransomware configuration

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のフォルダを作成します。

• C:\{current system date and time}

情報漏えい

マルウェアは、以下のパラメータを受け取ります。

• -wait → delays execution
• -extract {filepath}
• -end
• -debug

マルウェアは、以下の情報を収集します。

• Number of Processors

その他

マルウェアは、以下を実行します。

• It logs its activities through a console.
  
• It deletes itself after encryption.
• It creates a fake self-signed certificate and saved in the %User Temp% directory.
• It displays a pop-up warning with indication of file encryption.
  
• It works up the CPU by creating multiple threads to trigger ransomware infection CPU warning.

ランサムウェアの不正活動

マルウェアは、以下のディレクトリ内で確認されたファイルを暗号化します。

• c:\Users

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• {original filename}.{original extension}.badware

マルウェアが作成する以下のファイルは、脅迫状です。

• %Desktop%\Encrypted.txt