Ransom.Win32.PARADISE.B

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Application Data%\parid.bin - contains unique code

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

自動実行方法

マルウェアは、Windows起動時に自動実行されるよう＜User Startup＞フォルダ内に以下のファイルを作成します。

• %User Startup%\{random characters}.hta
• %User Startup%\{random characters}.exe

(註：%User Startup%フォルダは、現在ログオンしているユーザのスタートアップフォルダです。Windows 98およびMEの場合、通常 "C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows NTの場合、通常 "C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows XPの場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。)

プロセスの終了

マルウェアは、感染コンピュータ上でプロセスが常駐されていることを確認した場合、以下のいずれかの文字列を含むプロセスまたはサービスを終了します。

• mysql
• IBM
• bes10
• black
• sql
• store.exe
• vee
• postg
• sage
• ShadowProtectSvc
• SPAdminV4
• SPTimerV4
• SPTraceV4
• SPUserCodeV4
• SPWriterV4
• SPSearch4
• firebirdguardiandefaultinstance
• Simply Accounting Database Connection Manager
• ibmiasrw
• QBPOSDBServiceV12
• QBCFMonitorService
• QBVSS
• mr2kserv
• WinDefend
• MSExchangeADTopology
• SQLWriter
• ReportServer$ISARS
• SQLBrowser
• IISADMIN
• IBM Domino Server (CProgramFilesIBMDominodata)
• MSExchangeSA
• MSExchangeIS
• IBM Domino Diagnostics (CProgramFilesIBMDomino)
• QuickBooksDB25
• QuickBooksDB24
• QuickBooksDB23
• QuickBooksDB22
• QuickBooksDB21
• QuickBooksDB20
• QuickBooksDB19
• QuickBooksDB18
• QuickBooksDB17
• QuickBooksDB16
• QuickBooksDB15
• QuickBooksDB14
• QuickBooksDB13
• QuickBooksDB12
• QuickBooksDB11
• QuickBooksDB10
• QuickBooksDB9
• QuickBooksDB8
• QuickBooksDB7
• QuickBooksDB6
• QuickBooksDB5
• QuickBooksDB4
• QuickBooksDB3
• QuickBooksDB2
• QuickBooksDB1
• MSExchangeFBA
• SQLAgent$MSFW
• SQLAgent$ISARS
• MSSQL$MSFW
• MSSQL$ISARS
• MSSQLServerADHelper100

その他

マルウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• iplogger.org

ランサムウェアの不正活動

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• Windows
• $Recycle bin
• System Volume Information
• Program Files
• Program Files (x86)

マルウェアは、以下の名称を利用して暗号化されたファイルのファイル名を改称します。

• {file name}.{file extension}_{unique code}_{petrus34@p-security.li}.sambo

マルウェアは、以下の内容を含む脅迫状のテキストファイルを残します。

• {Encrypted Directory}\Instructions with your files.txt