Ransom.Win32.ENQTOX.A.go

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Public%\.lock
• %Public%\sd\del.bat
• %Public%\Desktop\decrypt.key
• %Public%\Desktop\Readme_on_Chrome.html ← Ransom Note
• %User Profile%\Administrator\Desktop\Readme_on_Chrome.html ← Ransom Note
• {Malware File Path}\files.txt

(註：%Public%フォルダは、すべてのユーザ共通のファイルまたはフォルダのリポジトリとして機能するフォルダです。Windows Vista、7、8の場合、通常 "C:\Users\Public" です。. %User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。)

マルウェアは、以下のプロセスを追加します。

• reg delete "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Default" /va " /f"
• reg delete "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Servers" " /f"
• reg delete HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\WordWheelQuery " /f"
• reg delete HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\TypedPaths " /f"
• reg delete HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU " /f"
• wevtutil cl system ← Clears system logs
• wevtutil cl security ← Clears security logs
• vssadmin delete shadows " /all" /quiet ← Deletes shadow copies

他のシステム変更

マルウェアは、以下のレジストリキーを削除します。

HKEY_CURRENT_USER\Software\Microsoft\
Terminal Server Client\Default
(Default) =

HKEY_CURRENT_USER\Software\Microsoft\
Terminal Server Client\Servers
(Default) =

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
WordWheelQuery
(Default) =

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
TypedPaths
(Default) =

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
RunMRU
(Default) =

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• private.pem
• public.pem
• files.txt
• golancer.key
• decrypt.key
• desktop.ini
• Readme.html
• Readme_on_Chrome.html

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• {Original Filename & File Extension}.[get_readme_on_desktop]

マルウェアが作成する以下のファイルは、脅迫状です。

• %Public%\Desktop\Readme_on_Chrome.html
• %User Profile%\Administrator\Desktop\Readme_on_Chrome.html
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .exe
• .dll
• .sys
• .lnk
• .msi
• .hta
• .cpl
• .ini
• .cab
• .cur
• .idx
• .drv
• .hlp
• .icl
• .icns
• .ico
• .ocx
• .spl
• .bat
• .bin
• .pak
• .lock