Ransom.Win32.BITPAYMER.TGACAK

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• SATAN_CRYPT

プロセスの終了

マルウェアは、感染コンピュータ上で確認した以下のサービスを終了します。

• MySQLa
• SQLWriter
• SQLSERVERAGENT
• MSSQLFDLauncher
• MSSQLSERVER
• UxSms

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• calc.exe
• sqlservr.exe
• mysqld.exe
• nmesrvc.exe
• sqlagent.exe
• fdhost.exe
• fdlauncher.exe
• reportingservicesservice.exe
• omtsreco.exe
• tnslsnr.exe
• oracle.exe
• emagent.exe
• perl.exe
• sqlwriter.exe
• mysqld-nt.exe

作成活動

マルウェアは、以下のファイルを作成します。

• %Windows%\Temp\Ssession - contains a {random string}

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}.159.106/cyt.php?code={random string}&file=0&size=0&sys=win&VERSION={windows version}&status={start | db | done}

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• .conn
• .crypt
• .data
• .hash
• .loop
• .ltmp
• blue.fb
• blue.xml
• boot.ini
• desktop.ini
• star.fb
• star.xml
• satan_pro
• cab
• pol
• dll
• msi
• exe
• lib
• iso
• bin
• bmp
• tmp
• log
• ocx
• chm
• dat
• sys
• wim
• sdi
• lnk
• gho
• pbk

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• 360downloads
• 360rec
• 360safe
• 360sand
• 360sec
• all users
• boot
• common files
• default user
• dvd maker
• favorites
• i386
• intel
• internet explorer
• jdk
• libs
• microsoft
• microsoft games
• msbuild
• public
• python2
• python3
• recycle
• temp
• uname
• upass
• windows
• windows defen
• windows mail
• windows media pl
• windows nt
• windows photo viewer
• windows sidebar

マルウェアは、以下の名称を利用して暗号化されたファイルのファイル名を改称します。

• [satan_pro@mail.ru]{original filename}.{random string}.satan_pro

マルウェアが作成する以下のファイルは、脅迫状です。

• {drive letter}:\_如何解密我的文件_.txt

マルウェアは、以下の内容を含む脅迫状のテキストファイルを残します。