Ransom.Win32.ENMITY.THJOFBC

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• {Drive Letter}:\KeyForFiles\Key.secret → contains encrypted victim's information and master key for decryption
• {Drive Letter}:\KeyForFiles\DecryptionKey.txt
• C:\KeyForFiles\PublicKey.txt
• E:\Rns for being rich\Enmity\Release\Enmity.pdb → project file

他のシステム変更

マルウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Enmity
ID = {Victim's ID}

情報漏えい

マルウェアは、以下のパラメータを受け取ります。

• {Drive Letter}:\

その他

マルウェアは、以下を実行します。

• Upon execution, it shows a command line interface whereas it accepts parameters:
  • 1 → Full Encryption
  • 2 → Specific Directory Encryption (note that the sample file should be in the directory to be encrypted)
• The information inside the Key.secret file for decryption are the following:
  • Victim ID
  • Amount of data Encrypted
  • Criminal email address
  • IP address
  • Date of Infection

ランサムウェアの不正活動

マルウェアは、以下の名称を利用して暗号化されたファイルのファイル名を改称します。

• {Random}-Mail[{BLOCKED}o@gmail.com ]ID-[{User's ID}].{Random 6-byte characters}

マルウェアが作成する以下のファイルは、脅迫状です。

• Enmity-Unlock-Guide.txt