Ransom.Win32.LOCKCRYPT.EKNAJ

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Windows%\ncler.txt
• %Windows%\searchfiles.exe - copy of itself

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、以下のプロセスを追加します。

• %System%\cmd.exe /c vssadmin delete shadows /all

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
unlock = "%System Root%\How To Decode Files.hta"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
searchfiles = %Windows%\searchfiles.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\DateTime
orsa = {Hex Value}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\DateTime
rsa = {Hex Value}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
.BadNews\shell\open\
command
(Default) = %System%\mshta.exe "%System Root%\How To Decode Files.hta"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer
GlobalAssocChangedCounter = 57

その他

マルウェアは、以下を実行します。

• Terminates all process found that are not included in the following:
  • [System process]
  • System
  • smss.exe
  • dllhost.exe
  • svchost.exe
  • csrss.exe
  • Microsoft
  • ActiveDirectory
  • WebServices.exe
  • cmd.exe
  • mstsc.exe
  • find.exe
  • conhost.exe
  • explorer.exe
  • ctfmon.exe
  • lsass.exe
  • services.exe
  • tasklist.exe
  • winlogon.exe
  • wmiprvse.exe
  • msdts.exe
  • bfsvc.exe
  • AdapterTroubleshooter.exe
  • alg.exe
  • dwm.exe
  • issch.exe
  • rundll32.exe
  • spoolsv.exe
  • wininit.exe
  • wmiprvse.exe
  • wudfhost.exe
  • taskmgr.exe
  • rdpclip.exe
  • logonui.exe
  • lsm.exe
  • searchui.exe
  • searchindexer.exe
  • processhacker.exe
  • getpassvord_x64.exe
  • 64.exe
  • 32.exe
  • mshta.exe
  • fontdrvhost.exe
  • sihost.exe
  • pscan24.exe
  • advanced_port_scanner.exe
  • advanced_port_scanner_console.exe
  • pscan24
  • tmp
  • dfssvc.exe

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• How to Decode Files.hta
• .BadNews

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• windows

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• {Original Filename} ID {Random ID}.BadNews

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Directory}\How To Decode Files.hta