Ransom.Win32.HILDA.THIOFAIA

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Profile%\AppData\Roaming{00000000-0000-0000-0000-000000000000}\nflxcoreupdate_WOW64.exe ← detected as TROJ_GEN.R03BC0PI519
• %User Profile%\AppData\Roaming{00000000-0000-0000-0000-000000000000}\HildaloliLOVESMHTandVK_Intel.exe ← normal file, Sysinternals Sdelete

(註：%User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。)

マルウェアは、以下のプロセスを追加します。

• "net.exe" /stop WinDefend /y
• "net.exe" /stop MBAMService /y
• "vssadmin.exe" Delete Shadows /All /Quiet
• %System%\net1 /stop MBAMService /y
• %System%\net1 /stop WinDefend /y

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、以下のフォルダを作成します。

• %User Profile%\AppData\Roaming{00000000-0000-0000-0000-000000000000}

(註：%User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• RstrMgr3887CAB8-533F-4C85-B0DC-3E5639F8D511
• RstrMgr-3887CAB8-533F-4C85-B0DC-3E5639F8D511-Session0000

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000

マルウェアは、以下のレジストリキーを削除します。

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000

ランサムウェアの不正活動

マルウェアは、以下のディレクトリ内で確認されたファイルを暗号化します。

• .3g2
• .3gp
• .7z
• .accdb
• .accde
• .accdr
• .accdt
• .agdl
• .ai
• .asp
• .aspx
• .avi
• .back
• .backup
• .backupdb
• .bak
• .bank
• .blend
• .c
• .cdr3
• .cdr4
• .cdr5
• .cdr6
• .cdrw
• .cer
• .class
• .cpp
• .craw
• .cs
• .csv
• .db
• .dbf
• .db-journal
• .ddoc
• .ddrw
• .design
• .djvu
• .doc
• .docm
• .docx
• .dotm
• .dotx
• .erbsql
• .flac
• .flv
• .gray
• .grey
• .h
• .htm
• .html
• .ibank
• .incpas
• .indd
• .jar
• .java
• .jpeg
• .jpg
• .jsp
• .kdbx
• .key
• .kpdx
• .m4v
• .mdb
• .moneywell
• .mov
• .mp3
• .mp4
• .mpg
• .ods
• .odt
• .pages
• .pdf
• .php
• .php5
• .phtml
• .pl
• .png
• .potm
• .potx
• .ppam
• .pps
• .ppsm
• .ppsx
• .ppt
• .pptm
• .pptx
• .ps
• .psafe3
• .psd
• .pspimage
• .py
• .rar
• .rm
• .rtf
• .s3db
• .sas7bdat
• .sldm
• .sldx
• .sql
• .sqlite
• .sqlite3
• .sqlitedb
• .svg
• .swf
• .tex
• .tif
• .txt
• .vob
• .wallet
• .wav
• .wmv
• .wpd
• .wps
• .xlam
• .xlr
• .xlsb
• .xlsm
• .xlsx
• .xltm
• .xltx
• .xml
• .ycbcra
• .zip

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .HILDA!

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted File Directory}\READ_IT.TXT

マルウェアは、以下の内容を含む脅迫状のテキストファイルを残します。