Ransom.Win32.LOCKERGOGA.THBOGAI

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、異なるファイル名を用いて以下のフォルダ内に自身のコピーを作成します。

• %User Temp%\hvwfcsky{4-5 random numbers}.exe

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のプロセスを追加します。

• %User Temp%\hvwfcsky{4-5 random numbers}.exe -w (if no parameter)

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

その他

マルウェアは、以下のパラメータを受け取ります。

• -w = allows encryption of all file types
• -v = display version
• -h = help message
• -m = email used in ransom note
• -e = erase file
• -l = create log file
• -j = allow multi threading
• -f = input file
• -r = dry run
• {filename} -w = encrypt a specific file

ランサムウェアの不正活動

マルウェアは、以下の文字列を含むファイルを暗号化します。

• .doc
• .dot
• .docx
• .docb
• .dotx
• .dotb
• .wbk
• .xlm
• .xlsx
• .xltx
• .xlsb
• .xlw
• .ppt
• .pps
• .pot
• .potx
• .ppsx
• .pptx
• .sldx
• .pdf
• .db
• .sql

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .locked

マルウェアは、以下の内容を含む脅迫状のテキストファイルを残します。

• READ-ME-NOW.txt