Ransom.Win32.NEMTY.THEOGBO

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

特定のフォルダ内のファイルを暗号化します。 身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• %System%\cmd.exe ipconfig
• %System%\cmd.exe net user

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• off white air force cveta kapusti :)

他のシステム変更

マルウェアは、以下のレジストリ値を変更し、デスクトップの壁紙を変更します。

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %User Temp%\god.jpg

マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。

• %User Temp%\god.jpg
  

ダウンロード活動

マルウェアは、以下のURLからファイルをダウンロードします。マルウェアは、ファイルが感染コンピュータ内に保存されると、ファイル名を変更します。

• http://ocsp.{BLOCKED}i.goog/gsr2/ME4wTDBKMEgwRjAJBgUrDgMCGgUABBTgXIsxbvr2lBkPpoIEVRE6gHlCnAQUm%2BIHV2ccHsBqBt5ZtJot39wZhi4CDQHjtJ13zfQMBhkWtuM%3D
• http://ocsp.{BLOCKED}i.goog/gts1d2/MFEwTzBNMEswSTAJBgUrDgMCGgUABBT4YwNSyUnwC88de5a5l4eUO%2BLQewQUsd0yXei3N3LSzlzOJv5HeeIBCOkCEFuEnqWAwrdaCgAAAAAl4Dc%3D
• http://api.{BLOCKED}p.com/v2/free/{external ip}/countryName

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %Temporary Internet Files%\Content.IE5\{7 random characters}\raw[1].txt
• %Temporary Internet Files%\Content.IE5\{7 random characters}\countryName[1].txt
• %User Temp%\ip.txt
• %User Temp%\country.txt

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

その他

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\TESORION
fileid = NEMTY_{7 random characters}

マルウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• www.myexternalip.com

マルウェアは、以下のファイルを作成します。

• %Cookies%\{username}@db-ip[1].txt

(註：%Cookies%フォルダは、Internet Explorer（IE）のCookieフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Cookies"" です。Windows Vista、7の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Cookies"" です。Windows 8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Microsoft\Windows\INetCookies" です。)

ランサムウェアの不正活動

マルウェアは、以下のディレクトリ内で確認されたファイルを暗号化します。

• Removable Drive
• Network Drive
• Fixed Drive

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• windows
• $RECYCLE.BIN
• NTDETECT.COM
• MSDOS.SYS
• IO.SYS
• boot.ini
• AUTOEXEC.BAT
• ntuser.dat
• desktop.ini
• CONFIG.SYS
• RECYCLER
• BOOTSECT.BAK
• bootmgr
• programdata
• appdata
• program files
• program files (x86)

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• (encrytpted files}.NEMTY_{7 random characters}

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted File Directory}\NEMTY_{7 random characters}-DECRYPT.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .exe
• .log
• .cab
• .cmd
• .com
• .cpl
• .ini
• .dll
• .url
• .ttf
• .mp3
• .pif
• .mp4
• .NEPHILIM
• .msi
• .lnk
• .NEMTY