Ransom.Win32.NEFILIM.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、実行後、自身を削除します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• "%System%\cmd.exe" /c timeout /t 3 /nobreak && del "{Full Path of Malware}\{Malware name}.exe" /s /f /q

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Den'gi plyvut v karmany rekoy. My khodim po krayu nozha...

その他

マルウェアは、以下を実行します。

• It encrypts the following Drives:
  • Fixed Drive
  • Removable Drive
  • Remote/Network Drive

マルウェアは、実行後、自身を削除します。

ランサムウェアの不正活動

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• Windows
• $RECYCLE BIN
• rsa
• ntdetect.com
• ntdlr
• MSDOS.SYS
• IO.SYS
• boot.ini
• AUTOEXEC.BAT
• ntuser.dat
• desktop.ini
• CONFIG.SYS
• RECYCLER
• BOOTSECT.BAK
• bootmgr
• Programdata
• Appdata
• Program files
• Program files (x86)
• Microsoft
• sophos

マルウェアが作成する以下のファイルは、脅迫状です。

• {Drive Letter}\NEFILIM-DECRYPT.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .exe
• .dll
• .msi
• .lnk
• .mp3
• .mp4
• .pif
• .ttf
• .ini
• .cpl
• .com
• .cab
• .log
• .cmd
• .url
• .NEFILIM