Ransom.Win32.NOKO.THDABBC

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• if --safe-mode commandline parameter is used:
  • "%System%\bcdedit.exe" /set {default} safeboot network
  • "%System%\shutdown.exe" -r

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

自動実行方法

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\SafeBoot\Network\
nokonoko → if --safe-mode commandline parameter is used.

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\nokonoko → if --safe-mode commandline parameter is used.

他のシステム変更

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\SafeBoot\Network\
nokonoko → if --safe-mode commandline parameter is used.
(Default) = Service

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control → if --safe-mode commandline parameter is used.
ServicesPipeTimeout = 86400000

その他

マルウェアは、以下を実行します。

• It encrypts files found in the following drives:
  • Fixed Drives
  • Removable Drives
  • Remote (Network) Drives
• The following can be changed in the runtime configuration:
  • Directories to avoid
  • File extensions to avoid
  • Ransom note content
  • Ransom note filename
  • Appended extension of encrypted files
  The following can be enabled/disabled in the runtime configuration:
  • Encryption of network shares
  • Delete shadow copies
  • Loading of hidden drives
• It shows the following message box when the --config argument is improperly encoded:
  
• It adds the following service if --safe-mode commandline parameter is used:
  Service Name: nokonoko
  Display Name: shmokoshmoko
  Path to exectuable: {Malware File Path}\{Malware File Name}.exe --config {Base64 encoded config}
  Start Type: Auto start

マルウェアは、以下のパラメータを受け取ります。

• --config → {Base64 encoded config} → runtime configuration of the sample
• --dir → encrypt selected directories and sub-directories
• --file → encrypt selected files
• --safe-mode → reboots and encrypts the user's machine in safe mode

ランサムウェアの不正活動

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• windows
• program files
• program files (X86)
• appdata
• programdata
• system volume information

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .NOKONOKO

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Directory}\NOKONOKO-readme.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .exe
• .dll
• .ini
• .lnk
• .url

<補足>
インストール

マルウェアは、以下のプロセスを追加します。

• コマンドライン・パラメータ「--safe-mode」が使用された場合：
  • "%System%\bcdedit.exe" /set {デフォルト} safeboot network
  • "%System%\shutdown.exe" -r

その他

マルウェアは、以下を実行します。

• 以下のドライブ内で確認されたファイルを暗号化します。
  • 固定ドライブ
  • リムーバブルドライブ
  • リモート（ネットワーク）ドライブ
• ランタイム設定で、以下を変更する可能性があります。
  • 避けるべきディレクトリ
  • 避けるべきファイル拡張子
  • 身代金要求文書（脅迫状）の内容
  • 身代金要求文書（脅迫状）のファイル名
  • 暗号化されたファイルに付加される拡張子
• ランタイム設定で、以下を有効/無効にする可能性があります。
  • ネットワーク上の共有ドライブの暗号化
  • シャドウコピーの削除
  • 隠しドライブの読み込み
• 引数「--config 」のエンコードが適切でない場合、以下のメッセージ ボックスを表示します。
  
• コマンドライン・パラメータ「--safe-mode」が使用された場合、以下のサービスを追加します。
  
  サービス名: nokonoko
  表示名: shmokoshmoko
  実行ファイルへのパス: {マルウェアのファイルパス}\{マルウェアのファイル名}.exe --config {Base64でエンコードされた構成ファイル}
  スタートの種類: Auto start

マルウェアは、以下のパラメータを受け取ります。

• --config → {Base64でエンコードされた設定ファイル} → 本検体のランタイム設定
• --dir → 選択したディレクトリおよびサブディレクトリの暗号化
• --file → 選択したファイルの暗号化
• --safe-mode → セーフモードで感染コンピュータの再起動および暗号化