Ransom.Win32.GANDCRAB.WWO

マルウェアは、感染コンピュータや感染ユーザから特定の情報を収集します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。 マルウェアは、実行後、自身を削除します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\Microsoft\{Random Characters}.exe

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\pc_group={Machine Workgroup}&ransom_id={16 hex values generated by the malware}

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\RunOnce
{Random Characters} = %Application Data%\Microsoft\{Random Characters}.exe

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• msftesql.exe
• sqlagent.exe
• sqlbrowser.exe
• sqlservr.exe
• sqlwriter.exe
• oracle.exe
• ocssd.exe
• dbsnmp.exe
• synctime.exe
• mydesktopqos.exe
• agntsvc.exeisqlplussvc.exe
• xfssvccon.exe
• mydesktopservice.exe
• ocautoupds.exe
• agntsvc.exeagntsvc.exe
• agntsvc.exeencsvc.exe
• firefoxconfig.exe
• tbirdconfig.exe
• ocomm.exe
• mysqld.exe
• mysqld-nt.exe
• mysqld-opt.exe
• dbeng50.exe
• sqbcoreservice.exe
• excel.exe
• infopath.exe
• msaccess.exe
• mspub.exe
• onenote.exe
• outlook.exe
• powerpnt.exe
• steam.exe
• sqlservr.exe
• thebat.exe
• thebat64.exe
• thunderbird.exe
• visio.exe
• winword.exe
• wordpad.exe

作成活動

マルウェアは、以下のファイルを作成します。

• %User Temp%\pidor.bmp

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

情報漏えい

マルウェアは、以下の情報を収集します。

• Machine Workgroup
• Anti Virus Software
• System Language
• Public IP Address
• Username
• Machine Name
• Machine Keyboard Layout
• OS Version and Platform
• Drive letters of drives, type, capacity, and free space

情報収集

マルウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://{BLOCKED}r.bit/{encrypted stolen information}

その他

マルウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• Ipv4bot.whatismyipaddress.com

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}r.bit/
• http://{BLOCKED}ware.bit/

マルウェアは、以下のWebサイトにDNSリクエストを実行します。

• {BLOCKED}1.{BLOCKED}vers.ru
• {BLOCKED}2.{BLOCKED}vers.ru
• {BLOCKED}ware.bit
• {BLOCKED}r.bit

マルウェアは、実行後、自身を削除します。

ランサムウェアの不正活動

マルウェアは、以下のディレクトリ内で確認されたファイルを暗号化します。

• It will check the drive type of all drives from A to Z and will only encrypt the ones with the following drive type:
  • Removable Drives
  • Fixed Drives
  • Network Drives
  • Ramdisk Drives

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .CRAB

マルウェアは、以下の内容を含む脅迫状のテキストファイルを残します。

• {Encrypted Directory}\CRAB-DECRYPT.txt
  •