Ransom.Win32.ERIS.C

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。 マルウェアは、実行後、自身を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• taskkill.exe /f /im mysqld.exe
• taskkill.exe /f /im sqlwriter.exe
• taskkill.exe /f /im sqlserver.exe
• taskkill.exe /f /im MSExchange*
• taskkill.exe /f /im Microsoft.Exchange.*

プロセスの終了

マルウェアは、感染コンピュータ上でプロセスが常駐されていることを確認した場合、以下のいずれかの文字列を含むプロセスまたはサービスを終了します。

• sql
• backup
• malware
• server
• agent
• http
• apache

作成活動

マルウェアは、以下のファイルを作成します。

• %ProgramData%\00000000.pky → contains public key
• %ProgramData%\00000000.eky → contains encryption key
• %ProgramData%\00000000.ext → contains file extension of encrypted files

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

その他

マルウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• http://extreme-ip{BLOCKED}.com/json

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}wzczbcbi4edpi4tx3khwbnty3obfhemd5i5gbyci3hxx3k5pad.{BLOCKED}n.pet/api/v1/check
• http://{BLOCKED}wzczbcbi4edpi4tx3khwbnty3obfhemd5i5gbyci3hxx3k5pad.{BLOCKED}n.pet/api/v1/sync

マルウェアは、実行後、自身を削除します。

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• .sys
• .com
• autoexec.bat
• boot.ini
• ntdetect.com
• msdos.sys
• io.sys
• pagefile.sys
• ntuser.dat
• config.sys
• ntldr

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• windows
• windows.old
• system volume information
• $recycle.bin
• program files
• program files (x86)
• programdata
• i386
• amd64
• sysvol

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .{5 random characters}

マルウェアは、以下の内容を含む脅迫状のテキストファイルを残します。

• {Encrypted Directory}\HELP-{5 random characters}.txt