Ransom.Win32.JOBCRYPTER.THOAAGAI

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、感染コンピュータ上の特定の情報を収集します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成し実行します。

• %Application Data%\nlo.exe -> copy of itself

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下の無害なファイルを作成します。

• %User Temp%\1.png
• %User Temp%\2.png
• %User Temp%\Screen.jpg ->screen capture of the affected system

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
JOJA = %Application Data%\nlo.exe

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software
MOI = {67 random digits} -> deleted once files have been encrypted

HKEY_CURRENT_USER\Software
1 = 1

マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。

• %User Temp%\2.png
  

情報漏えい

マルウェアは、感染コンピュータ上の以下の情報を収集します。

• Volume Serial Number
• Running Processes
• Machine Name

情報収集

マルウェアは、SMTPを用いて、自身が収集した情報を以下のEメールアドレスに送信します。

• Host: auth.smtp.1and1.fr
• Email address: {BLOCKED}24@gmail.com

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• boot.ini
• autoexec.bat
• Bootfont.bin
• config.sys
• io.sys
• msdos.sys
• ntdetect.com
• ntldr
• pagefile.sys
• desktop.ini
• Google Chrome.lnk
• Mozilla Firefox.lnk
• Internet Explorer.lnk
• Locker.exe
• .css

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• Program Files
• Windows

マルウェアは、以下の名称を利用して暗号化されたファイルのファイル名を改称します。

• {encrypted file}.css

マルウェアが作成する以下のファイルは、脅迫状です。

• %Desktop%\Comment débloquer mes fichiers .txt
• %User Startup%\Readme.txt
  however the malware encountered an exception in its code while writing the contents of the note, hence these files contain nothing

(註：%Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\Desktop" です。. %User Startup%フォルダは、現在ログオンしているユーザのスタートアップフォルダです。Windows 98およびMEの場合、通常 "C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows NTの場合、通常 "C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows XPの場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。)