Ransom.Win32.NEFILIM.E

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\god.jpg → used as wallpaper

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のプロセスを追加します。

• bcdedit /set {default} bootstatuspolicy ignoreallfailures → disables Windows error recovery
• bcdedit /set {default} recoveryenabled no → disables automatic repair
• wbadmin delete catalog -quiet → deletes backup catalog
• wmic shadowcopy delete → deletes shadow copies

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• sofos delaet sosos

他のシステム変更

マルウェアは、以下のレジストリ値を変更し、デスクトップの壁紙を変更します。

HKEY_CURRENT_MACHINE\Control Panel\Desktop
Wallpaper = %User Temp%\god.png

マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。

その他

マルウェアは、以下を実行します。

• It encrypts files in fixed, removable, and network drives.

ランサムウェアの不正活動

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• windows
• $RECYCLE.BIN
• rsa
• log
• NTDETECT.COM
• ntldr
• MSDOS.SYS
• IO.SYS
• boot.ini
• AUTOEXEC.BAT
• ntuser.dat
• desktop.ini
• CONFIG.SYS
• RECYCLER
• BOOTSECT.BAK
• bootmgr
• programdata
• appdata
• program files
• program files (x86)

マルウェアは、以下の内容を含む脅迫状のテキストファイルを残します。

• {Drive Letter}:\NEPHILIN-DECRYPT.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .exe
• .log
• .cab
• .cmd
• .com
• .cpl
• .ini
• .dll
• .url
• .ttf
• .mp3
• .pif
• .mp4
• .NEPHILIM
• .msi
• .lnk