Ransom.Win32.AFRODITA.THAACBOA

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %System%\main-public.key
• %System%\client-encrypted-private.key
• %System%\client-public.key

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• 835821AM3218SAZ

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000

マルウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000
Session Hash = {Hex Values}

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000
Owner = {Hex Values}

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000
Sequence = 1

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000
RegFiles0000 = {FilePath}\{FileName}

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000
RegFileHash = {Hex Values}

その他

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• .3DS
• .3FR
• .3PR
• .7Z
• .AB4
• .AC2
• .ACCDB
• .ACCDE
• .ACCDR
• .ACCDT
• .ACR
• .ADB
• .AGD1
• .AI
• .AIT
• .AL
• .APJ
• .APK
• .ARCH00
• .ARW
• .ASM
• .ASP
• .ASSET
• .AVI
• .AWG
• .BACKUP
• .BACKUPDB
• .BAK
• .BAR
• .BAY
• .BC6
• .BC7
• .BDB
• .BGT
• .BIG
• .BIK
• .BKF
• .BKP
• .BLEND
• .BLOB
• .BMP
• .BPW
• .BSA
• .C
• .CAS
• .CDF
• .CDR
• .CDR3
• .CDR4
• .CDR5
• .CDR6
• .CDRW
• .CDX
• .CE1
• .CE2
• .CER
• .CFP
• .CFR
• .CGM
• .CIB
• .CLASS
• .CLS
• .CMT
• .CPI
• .CPP
• .CR2
• .CRAW
• .CRT
• .CRW
• .CSH
• .CSL
• .CSS
• .CSV
• .D3DBSP
• .DAC
• .DAS
• .DAT
• .DAZIP
• .DB
• .DB0
• .DB3
• .DBA
• .DBF
• .DB-JOURNAL
• .DC2
• .DCR
• .DCS
• .DDD
• .DDOC
• .DDRW
• .DER
• .DESC
• .DESIGN
• .DGC
• .DJVU
• .DMP
• .DNG
• .DOC
• .DOCM
• .DOCX
• .DOT
• .DOTM
• .DOTX
• .DRF
• .DRW
• .DWG
• .DXB
• .DXF
• .DXG
• .EPK
• .EPS
• .ERBSQL
• .ERF
• .ESM
• .EXF
• .EXIF
• .FDB
• .FF
• .FFD
• .FFF
• .FH
• .FHD
• .FLV
• .FORGE
• .FOS
• .FPK
• .FPX
• .FSH
• .FXG
• .GDB
• .GHO
• .GIF
• .GRAY
• .GREY
• .GRY
• .H
• .HBK
• .HKDB
• .HKX
• .HPLG
• .HPP
• .HTM
• .HTML
• .HVPL
• .IBANK
• .IBD
• .IBZ
• .ICXS
• .IDX
• .IIQ
• .INCPAS
• .INDD
• .ITDB
• .ITL
• .ITM
• .IWD
• .IWI
• .JAVA
• .JFIF
• .JPE
• .JPEG
• .JPG
• .JS
• .KC2
• .KDB
• .KDBX
• .KDC
• .KF
• .KPDX
• .LAYOUT
• .LBF
• .LITEMOD
• .LRF
• .LTX
• .LUA
• .LVL
• .M2
• .M3U
• .M4A
• .MAP
• .MCMETA
• .MDB
• .MDBACKUP
• .MDC
• .MDDATA
• .MDF
• .MEF
• .MENU
• .MFW
• .MKV
• .MLX
• .MMW
• .MONEYWELL
• .MOS
• .MOV
• .MP3
• .MP4
• .MPG
• .MPQGE
• .MRW
• .MRWREF
• .MSG
• .MYD
• .NCF
• .NDD
• .NEF
• .NOP
• .NRW
• .NS2
• .NS3
• .NS4
• .NSD
• .NSF
• .NSG
• .NSH
• .NTL
• .NWB
• .NX1
• .NX2
• .NYF
• .ODB
• .ODC
• .ODF
• .ODG
• .ODM
• .ODP
• .ODS
• .ODT
• .ORF
• .OTG
• .OTH
• .OTP
• .OTS
• .OTT
• .P12
• .P7B
• .P7C
• .PAK
• .PAT
• .PCD
• .PDD
• .PDF
• .PEF
• .PEM
• .PFX
• .PHP
• .PKPASS
• .PL
• .PNG
• .POT
• .POTM
• .POTX
• .PPAM
• .PPS
• .PPSM
• .PPSX
• .PPT
• .PPTM
• .PPTX
• .PS
• .PSAFE3
• .PSD
• .PSK
• .PST
• .PTX
• .PY
• .QDF
• .QIC
• .R3D
• .RA2
• .RAF
• .RAR
• .RAW
• .RB
• .RDB
• .RE4
• .RGSS3A
• .RIM
• .ROFL
• .RTF
• .RW2
• .RWL
• .RWZ
• .S3DB
• .SAS7BDAT
• .SAV
• .SB
• .SD0
• .SD1
• .SDA
• .SDF
• .SID
• .SIDD
• .SIDN
• .SIE
• .SIS
• .SLDM
• .SLDX
• .SLM
• .SLN
• .SNX
• .SQL
• .SQLITE
• .SQLITE3
• .SQLITEDB
• .SR2
• .SRF
• .SRW
• .ST4
• .ST5
• .ST6
• .ST7
• .ST8
• .STC
• .STD
• .STI
• .STW
• .STX
• .SUM
• .SVG
• .SXC
• .SXD
• .SXG
• .SXI
• .SXM
• .SXW
• .SYNCDB
• .T12
• .T13
• .TAX
• .TOR
• .TXT
• .UPK
• .VCF
• .VDF
• .VFS0
• .VPK
• .VPP_PC
• .VTF
• .W3X
• .WALLET
• .WB2
• .WMA
• .WMO
• .WMV
• .WOTREPLAY
• .WPD
• .WPS
• .X3F
• .XF
• .XLA
• .XLAM
• .XLK
• .XLL
• .XLM
• .XLS
• .XLSB
• .XLSM
• .XLSX
• .XLT
• .XLTM
• .XLTX
• .XLW
• .XXX
• .YCBCRA
• .ZIP
• .ZTMP

マルウェアは、以下を実行します。

• It encrypts all files in all drives.

ランサムウェアの不正活動

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• All Users
• App Data
• Program Files
• Program Files (x86)
• ProgramData
• Windows
• $GetCurrent

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Directory}\__README_RECOVERY_.txt