Ransom.Win32.MOALOA.THGOEAI

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、感染コンピュータをスキャンし、ウイルスおよびセキュリティ対策製品に関連するレジストリキーを確認します。この動作は、マルウェアが感染コンピュータ上での検出を避けるためにするものと考えられます。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Desktop%\ids.txt → contains the encryption key and available drives
• %All Users Profile%\local\.{Machine's GUID}
• {Encrypted Directory}\.{Machine's GUID} → contains the encryption key

(註：%Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\Desktop" です。. %All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。)

マルウェアは、以下のプロセスを追加します。

• vssadmin delete shadows /all /quiet → Delete all shadow copies
• reg delete \"HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Default\" /va /f
• reg delete \"HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Servers\" /f
• reg add \"HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Servers\"
• for /F \"tokens=*\" %1 in ('wevtutil.exe el') DO wevtutil cl \"%1\"

マルウェアは、以下のフォルダを作成します。

• %All Users Profile%\local

(註：%All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
WindowsUpdateCheck = {Malware Path and Filename}.exe

他のシステム変更

マルウェアは、以下のレジストリキーを削除します。

HKEY_CURRENT_USER\Software\Microsoft\
Terminal Server Client\Servers

HKEY_CURRENT_USER\Software\Microsoft\
Terminal Server Client\Default

マルウェアは、感染コンピュータをスキャンし、ウイルスおよびセキュリティ対策製品に関連する以下のレジストリキーを確認します。

HKEY_LOCAL_MACHINE\Software\Policies\
Microsoft\Windows\HomeGroup
DisableHomeGroup = {Default}

HKEY_LOCAL_MACHINE\Software\Policies\
Microsoft\Windows Defender
DisableAntiSpyware = {Default}

HKEY_LOCAL_MACHINE\Software\Policies\
Microsoft\Windows Defender\Policy Manager

HKEY_LOCAL_MACHINE\Software\Policies\
Microsoft\Windows Defender\Real-time Protection
DisableRealTimeMonitoring = {Default}

HKEY_LOCAL_MACHINE\Software\Policies\
Microsoft\Windows Defender\Real-time Protection
DisableBehaviorMonitoring = {Default}

HKEY_LOCAL_MACHINE\Software\Policies\
Microsoft\Windows Defender\Real-time Protection
DisableOnAccessProtection = {Default}

ランサムウェアの不正活動

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• Tiger4444

マルウェアは、以下の内容を含む脅迫状のテキストファイルを残します。

• HOW TO BACK YOUR FILES.TXT