Ransom.Win32.MRDEC.MRA

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Windows%\ncler.txt -> contains logging of the malware's activities
• %Windows%\clerlog.bat -> used to clear logs using wevtutil, delete contents in Recycle Bin, delete shadow copies of ncler.txt
• %System Root%\Decoding help.hta -> ransom note

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.. %System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Windows%\searchfiles.exe

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
unlock = "%System Root%\Decoding help.hta"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
searchfiles = "%Windows%\searchfiles.exe"

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
.[ID]{Random Characters}[ID]

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\DateTime
orsa = "{Hex values}"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\DateTime
rsa = "{Hex values}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
.[ID]{Random Characters}[ID]\shell\open\
command
(Default) = "%System%\mshta.exe %System Root%\Decoding help.hta"

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
PromptOnSecureDesktop = "0"

(註：変更前の上記レジストリ値は、「{User Preference}」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
EnableLUA = "0"

(註：変更前の上記レジストリ値は、「{User Preference}」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
ConsentPromptBehaviorAdmin = "0"

(註：変更前の上記レジストリ値は、「{User Preference}」となります。)

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• All processes excluding the following:
  • [System Process]
  • System
  • smss.exe
  • dllhost.exe
  • svchost.exe
  • csrss.exe
  • Microsoft.ActiveDirectory
  • WebServices.exe
  • cmd.exe
  • mstsc.exe
  • find.exe
  • conhost.exe
  • explorer.exe
  • ctfmon.exe
  • lsass.exe
  • services.exe
  • tasklist.exe
  • winlogon.exe
  • wmiprvse.exe
  • msdts.exe
  • bfsvc.exe
  • AdapterTroubleshooter.exe
  • alg.exe
  • dwm.exe
  • issch.exe
  • rundll32.exe
  • spoolsv.exe
  • wininit.exe
  • wmiprvse.exe
  • wudfhost.exe
  • taskmgr.exe
  • rdpclip.exe
  • logonui.exe
  • lsm.exe
  • searchui.exe
  • searchindexer.exe
  • processhacker.exe
  • getpassvord_x64.exe
  • 64.exe
  • 32.exe
  • mshta.exe
  • fontdrvhost.exe
  • sihost.exe
  • pscan24.exe
  • advanced_port_scanner.exe
  • advanced_port_scanner_console.exe
  • pscan24.tmp
  • PSEXESVC.exe
  • diskshadow.exe
  • dfssvc.exe

その他

マルウェアは、以下の画像を表示します。

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• Decoding help.hta

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• Windows

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .[ID]{Random Characters}[ID]

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted directory}\Decoding help.hta