Ransom.Win32.CORTEX.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %System Root%\oz_nqjjp.log -> Contains list of files it was unable to encrypt
• %System Root%\oz_nqjjp.tsv -> Contains list of encrypted files with corresponding "session" keys
• %User Temp%\oz_nqjjp.dll -> Performs the encryption routine and deleted when no file is being encrypted
• %System Root%\!!!_READ_ME_!!!.txt -> Ransom note

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のプロセスを追加します。

• %System%\rundll32.exe \?\%User Temp%\oz_nqjjp.dll,_command@16 Global\liboz_nqjjp -> Encrypts a number of files per instance
• vssadmin.exe delete shadows /all /for={Drive Letter} -> Used to delete volume shadow copies of affected drives
• cipher.exe /w:{Drive Letter} -> Used to delete free copies of affected drives

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• .dll
• .exe
• .sys
• .mui
• .tmp
• .lnk
• .config
• .manifest
• .tlb
• .old

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• %Windows%

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• aes128ctr

マルウェアが作成する以下のファイルは、脅迫状です。

• %System Root%\!!!_READ_ME_!!!.txt