Ransom.Win32.CYBERVOLK.THHBGBD

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\tmp.bmp
• %Application Data%\time.dat

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

他のシステム変更

マルウェアは、以下のレジストリ値を変更し、デスクトップの壁紙を変更します。

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %User Temp%\tmp.bmp

マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。

• %User Temp%\tmp.bmp
  

その他

マルウェアは、以下を実行します。

• It checks for the following window name and then closes it:
  • TaskManagerWindow
• It encrypts files found in the following drives:
  • No Root Directory Drive
  • Removable Drive
• It displays a GUI which consists of the following:
  • Ransom note
  • 24-hour countdown
  • Textbox to input a key for decryption
  • Developer information
  
  

ランサムウェアの不正活動

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .cvenc

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Directory}\CyberVolk_ReadMe.txt
  

<補足>
その他

マルウェアは、以下を実行します。

• 以下のウインドウ名を確認した後、閉じます。
  • TaskManagerWindow
• 以下のドライブ内で確認されたファイルを暗号化します。
  • ルートディレクトリがないドライブ（NoRootDirectory）
  • リムーバブルドライブ
• 以下の内容を含むGUIを表示します。
  • 身代金要求文書（脅迫状）
  • 24時間のカウントダウン
  • 復号鍵を入力するためのテキストボックス
  • 開発者情報