Ransom.Win32.BALACLAVA.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、実行後、自身を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Public%\{random characters} -> encrypted ransom note
• %User Temp%\TotalFiles.txt -> contains the total count of encrypted files

(註：%Public%フォルダは、すべてのユーザ共通のファイルまたはフォルダのリポジトリとして機能するフォルダです。Windows Vista、7、8の場合、通常 "C:\Users\Public" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

その他

マルウェアは、実行後、自身を削除します。

ランサムウェアの不正活動

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• AVG
• Avast
• Avira
• COMODO
• Chrome
• Common Files
• Common7
• Dr. Web
• ESET
• Firefox
• HOW_TO_RECOVERY_FILES.txt
• Internet Explorer
• Kaspersky Lab
• McAfee
• Microsoft
• Microsoft Help
• Microsoft SDKs
• Microsoft Shared
• Microsoft VS Code
• Microsoft Visual Studio
• Microsoft .NET
• Movie Maker
• Mozilla Firefox
• NVIDIA Corporation
• Opera
• Outlook Express
• ProgramData
• Spytech software
• Symantec
• Symantec_Client_Security
• sysconfig
• System Volume Information
• TEMP
• Temp
• Windows
• Windows App Certification Kit
• Windows Defender
• Windows Kits
• Windows Mail
• Windows Media Player
• Windows Multimedia Platform
• Windows NT
• Windows Phone Kits
• Windows Phone Silverlight Kits
• Windows Photo Viewer
• Windows Portable Devices
• Windows Sidebar
• Windows Powershell
• Wsus
• YandexBrowser

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .{BLOCKED}glanville_data@{BLOCKED}l.com

マルウェアは、以下の内容を含む脅迫状のテキストファイルを残します。

• {Encrypted folder}\HOW_TO_RECOVERY_FILES.txt
• C:\$Recycle.Bin\{user SID}\HOW_TO_RECOVERY_FILES.txt
• C:\$Recycle.Bin\HOW_TO_RECOVERY_FILES.txt
• %Desktop%\HOW_TO_RECOVERY_FILES.txt
•