Ransom.Win32.FAKEGLOBE.MRV

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Public%\93603CF02EAF23F319BB1EF860A69BA06C8E84CE34898E7A109832B06CDDB887

(註：%Public%フォルダは、すべてのユーザ共通のファイルまたはフォルダのリポジトリとして機能するフォルダです。Windows Vista、7、8の場合、通常 "C:\Users\Public" です。)

マルウェアは、以下のファイルを作成し実行します。

• %User Temp%\tmp{random values}.tmp.bat

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\{Malware Name}.exe

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
BrowserUpdateCheck = %Application Data%\{Malware name}.exe

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_ CURRENT_USER\Software\Microsoft\
Terminal ServerClient\Servers

マルウェアは、以下のレジストリキーを削除します。

HKEY_CURRENT_USER\Software\Microsoft\
Terminal Server Client\Default

プロセスの終了

マルウェアは、感染コンピュータ上でプロセスが常駐されていることを確認した場合、以下のいずれかの文字列を含むプロセスまたはサービスを終了します。

• sql
• outlook
• Ssms
• postgre
• 1c
• Excel
• Word

ランサムウェアの不正活動

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• Windows
• Microsoft
• Microsoft Help
• Windows App Certification Kit
• Windows Defender
• ESET
• COMODO
• Windows NT
• Windows Kits
• Windows Mail
• Windows Media Player
• Windows Multimedia Platform
• Windows PhoneKits
• Windows Phone Silverlight Kits
• Windows Photo Viewer
• WindowsPortable Devices
• Windows Sidebar
• WindowsPowerShell
• NVIDIA Corporation
• Microsoft.NET
• Internet Explorer
• Kaspersky Lab
• McAfee
• Avira
• spytech software
• Sysconfig
• Avast
• Dr.Web
• Symantec
• Symantec_Client_Security
• system volume information
• AVG
• Microsoft Shared
• Common Files
• Outlook Express
• Movie Maker
• Chrome
• Mozilla Firefox
• Opera
• YandexBrowser
• Ntldr
• Wsus
• ProgramData

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• {dresdent@{BLOCKED}mail.com}DDT

マルウェアが作成する以下のファイルは、脅迫状です。

• how_to_back_files.html