Ransom.Python.PYLOCKY.B

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは特定のファイル拡張子を持つファイルを暗号化します。マルウェアは身代金要求文書を作成します。

マルウェアは、感染コンピュータのファイルを暗号化することができます。

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。 マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、フォルダを作成し、このフォルダ内に自身のファイルを作成します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成し実行します。

• %User Temp%\is-{Random Folder Name 1}.tmp\{Malware Name}.tmp
• %User Temp%\is-{Random Folder Name 2}.tmp\lockyfud.exe

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、フォルダを作成し、このフォルダ内に自身のファイルを作成します。

マルウェアは、以下のフォルダを作成します。

• %User Temp%\is-{Random Folder Name 1}.tmp\
• %User Temp%\is-{Random Folder Name 2}.tmp\
• %User Temp%\tmp4x_gld\gen_py\

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run\
MyProgram
MyProgram = %User Temp%\is-{Random Folder Name 2}.tmp\lockyfud.exe

情報漏えい

マルウェアは、以下の情報を収集します。

• Computer Name
• Username
• Processor Information
• GPU Information
• OS Version
• RAM Information
• Computer Language
• MAC Address

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}yrkumqih5l.onion/index.php

ランサムウェアの不正活動

マルウェアは、以下の文字列を含むファイルを暗号化します。

• 3dm
• 3ds
• 3g2
• 3gp
• 7z
• accdb
• ai
• aif
• apk
• app
• asf
• asp
• aspx
• avi
• bak
• bat
• bmp
• c
• cbr
• cer
• cfg
• cfm
• cgi
• class
• com
• cpp
• cs
• css
• csv
• dat
• db
• dbf
• dds
• deb
• dem
• dif
• doc
• docm
• docx
• dotm
• dotx
• eps
• flv
• fnt
• fon
• fpx
• gam
• ged
• gif
• gz
• h
• htm
• html
• ics
• iff
• indd
• ini
• iso
• j2c
• j2k
• java
• jfif
• jif
• jp2
• jpeg
• jpg
• jpx
• js
• json
• jsp
• key
• keychain
• log
• lua
• m3u
• m4a
• m4v
• max
• mdb
• mht
• mhtml
• mid
• mkv
• mov
• mp3
• mp4
• mpa
• mpg
• msg
• msi
• nes
• obj
• ods
• odt
• old
• otf
• pages
• pcd
• pct
• pdf
• php
• pkg
• pl
• png
• pps
• ppt
• pptx
• prf
• prn
• ps
• psd
• py
• rar
• rm
• rom
• rpm
• rss
• rtf
• sav
• sdf
• sh
• slk
• sln
• sql
• srt
• svg
• swf
• swift
• tar
• tex
• tga
• tgz
• thm
• tif
• tiff
• tmp
• torrent
• ttf
• txt
• vb
• vcf
• vcxproj
• vob
• wav
• wma
• wmv
• wpd
• wps
• xhtml
• xla
• xlam
• xls
• xlsb
• xlsm
• xlsx
• xltx
• xml
• xps
• yuv
• zip
• zipx

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .lockedfile

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Directory}\LOCKY-README.txt
  
  
  
• {Encrypted Directory}\{Original Filename}.lockymap