Ransom.Win32.PARADISE.F

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Application Data%\taridd

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のプロセスを追加します。

• vssadmin.exe delete shadows /all /quiet ? deletes shadow copies
• "%System%\cmd.exe" /c ping {BLOCKED}.{BLOCKED}.0.1 && del "{Malware Path}\{Malware Name}.exe" ? deletes itself

自動実行方法

マルウェアは、Windows起動時に自動実行されるよう＜スタートアップ＞フォルダ内に以下のファイルを作成します。

• %User Startup%\{Random characters}.exe

(註：%User Startup%フォルダは、現在ログオンしているユーザのスタートアップフォルダです。Windows 98およびMEの場合、通常 "C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows NTの場合、通常 "C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows 2003(32-bit)、XP、2000(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows Vista、7、8、 8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。)

プロセスの終了

マルウェアは、感染コンピュータ上でプロセスが常駐されていることを確認した場合、以下のいずれかの文字列を含むプロセスまたはサービスを終了します。

• mysql
• IBM
• bes10
• black
• sql
• store.exe
• vee
• postg
• sage

その他

マルウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• https://iplogger.org/1AsWy7

マルウェアは、以下を実行します。

• It disables Windows Defender by modifying the following registry entry:
  • HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender
  • DisableAntiSpyware = 1
• It deletes and terminates itself if the language of the target machine is any of the following:
  • Russia
  • Kazakhstan
  • Belarus
  • UkraineTatar
  
  
• It encrypts files located in the following locations:
  • Removable Drives
  • Fixed Drives
  • Remote Drives
  
  
• It stops Win32 Service Kernel Drivers and Win32 Service File System Drivers

ランサムウェアの不正活動

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• Windows
• $Recycle.bin
• System Volume Information
• Program Files
• Program Files (x86)

マルウェアは、以下の名称を利用して暗号化されたファイルのファイル名を改称します。

• {filename}_decryptor_{random characters}.tor

マルウェアは、以下の内容を含む脅迫状のテキストファイルを残します。

• {Encrypted Directory}\---==%$$$OPEN_ME_UP$$$==---.txt
  
•