Ransom.Win32.CAI.A

身代金要求文書のファイルを作成します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\E_N60005\krnln.fnr = module to be loaded
• %User Temp%\abc.txt = not used
• %Application Data%\CXK-NMSL\CXK-NMSL.bat = encrypt files
• %Application Data%\CXK-NMSL\fuze.bat = starts CXK-NMSL.bat
• %Application Data%\Wallpaper.jpg = wallpaper to change
• %User Temp%\drawerror.exe = error icon mouse trail
• %Application Data%\message.vbs = start up msg box and opens browser and redirects to https://www.bilibili.com/video/av61335515/
• %User Temp%\╝ª─π╠½├└.mp3 = music to play

マルウェアは、以下のプロセスを追加します。

• %Application Data%\CXK-NMSL\fuze.bat
• %Application Data%\CXK-NMSL\CXK-NMSL.bat

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のフォルダを作成します。

• %User Temp%\E_N60005
• %Application Data%\CXK-NMSL

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
CXK = %Application Data%\message.vbs

他のシステム変更

マルウェアは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Start Page = https://www.{BLOCKED}li.com/video/av61335515/ >

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Default_Page_URL = https://www.{BLOCKED}li.com/video/av61335515/

マルウェアは、以下のレジストリ値を変更し、デスクトップの壁紙を変更します。

HKEY_CURRENT_USER\control panel\desktop
Wallpaper = %Application Data%\Wallpaper.jpg

マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。

その他

マルウェアは、以下のメッセージボックスを表示します。

マルウェアは、以下を実行します。

• Plays the mp3 file ╝ª─π╠½├└.mp3
• Opens internet explorer and redirects to https://www.{BLOCKED}li.com/video/av61335515/
• Displays an error trail that follow the user's cursor for 10 ms
• Deletes CXK-NMSL.bat after execution
• The ransomware appends .cxkdata to all the files in the following directories:
  • %System Root%
  • %User Profile%
  • %User Profile%\Desktop\
  • %User Profile%\Downloads\
  • %User Profile%\Favorites\
  • %User Profile%\Searches\
  • %User Profile%\Saved Games\
  • %User Profile%\Contacts\
  • %User Profile%\Links\
  • %User Profile%\Videos\
  • %User Profile%\Pictures\
  • %User Profile%\Documents\
  • %User Profile%\Music\
• Then encodes them in Base64
  • Successful : changes .cxkdata to cxk_msl
  • Not successful : deletes the file

ランサムウェアの不正活動

マルウェアが作成する以下のファイルは、脅迫状です。

• {all directories and sub directories under %User Profile%}\CXK-NMSL-README.txt