Ransom.Win32.BASTACRYPT.THDBGBB

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\dlaksjdoiwq.jpg
• %User Temp%\fkdjsadasd.ico

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のプロセスを追加します。

• %System%\cmd.exe /c C:\Windows\SysNative\vssadmin.exe delete shadows /all /quiet
• %System%\cmd.exe /c C:\Windows\System32\vssadmin.exe delete shadows /all /quiet
• %System%\cmd.exe /c bcdedit /set safeboot network
• %System%\cmd.exe /c C:\Windows\System32\bcdedit.exe /set safeboot network
• %System%\cmd.exe /c C:\Windows\SysNative\bcdedit.exe /set safeboot network
• %System%\cmd.exe /c shutdown -r -f -t 0

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

自動実行方法

マルウェアは、以下のレジストリ値を追加し、セーフモード状態でも自身が実行されるようにします。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\SafeBoot\Network\
Fax
{default} = Service

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
.basta\DefaultIcon
{Default} = %User Temp%\fkdjsadasd.ico

マルウェアは、以下のレジストリ値を変更し、デスクトップの壁紙を変更します。

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %User Temp%\dlaksjdoiwq.jpg

マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。

その他

マルウェアは、以下を実行します。

• It encrypts files found in the following drive types:
  • Fixed drive
  • Network drive
  • RAM Disks
• It modifies the following service:
  • Service Name: Fax
  • ImagePath = {Malware Path}\{Malware Filename}
• It will then restart the machine in safe mode

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• OUT.txt
• readme.txt
• dlaksjdoiwq.jpg
• NTUSER.DAT
• fkdjsadasd.ico

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• $Recycle.Bin
• Windows
• Local Settings
• Application Data
• Boot

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .basta

マルウェアが作成する以下のファイルは、脅迫状です。

• {All Drive Folders}\readme.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .basta

<補足>
その他

マルウェアは、以下を実行します。

• 以下のドライブ内で確認されたファイルを暗号化します。
  • 固定ドライブ
  • ネットワークドライブ
  • RAMディスク
• 以下のサービスを変更します。
  • サービス名：FAX
  • ImagePath = {マルウェアパス}\{マルウェアのファイル名}
• その後、セーフモードで感染コンピュータを再起動します。