Ransom.Win32.MEGACRYPTOR.THABAOAH

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• cmd.exe /c %User Profile%\DECRYPT.html
• cmd.exe /C timeout /T 15 /NOBREAK && del {malware path}\{malware name} /F

(註：%User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• bip

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
inf = %User Profile%\Information.html

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
inf = %User Profile%\Information.html

ランサムウェアの不正活動

マルウェアは、以下の文字列を含むファイルを暗号化します。

• .gdb
• .ldf
• .mdf
• .mdb
• .pdf
• .fdb
• .mde
• .txt
• .png
• .jpg
• .jpeg
• .bmp
• .gif
• .zip
• .rar
• .1cd
• .sql
• .bak
• .back
• .cab
• .log
• .ico
• .old
• .rtf
• .lnk
• .doc
• .docx
• .xls
• .xlsx
• .tif
• .vsc
• .mkv
• .flac
• .der
• .sch
• .crt
• .pem
• .pbix
• .hbk
• .epx
• .dpl
• .bpl
• .htm
• .csv
• .mp4
• .mp3
• .myi
• .myd
• .xml
• .r11
• .vsl
• .newdb
• .srf
• .pst
• .ods
• .erf
• .html
• .php
• .asp
• .aspx
• .ppt
• .pptx
• .java
• .cpp
• .css
• .jar
• .swift
• .shtml
• .less
• .sass
• .dat
• .json
• .key
• .avi
• .3gp
• .wmv
• .accdb
• .rmvb
• .mpg
• .mov
• .vob
• .flv
• .swf
• .wma
• .aac
• .mmf
• .amr
• .m4a
• .m4r
• .ogg
• .mp2
• .wav
• .pcx
• .tga
• .tiff
• .odt
• .dll
• .exe
• .lrf
• .glf
• .msi
• .vhdx
• .vhd
• .bin
• .vsv
• .tib
• .vue

マルウェアは、以下の名称を利用して暗号化されたファイルのファイル名を改称します。

• {encrypted file}.bip

マルウェアが作成する以下のファイルは、脅迫状です。

• {encrypted directory}\Information.html