Ransom.Win32.PHOBOS.AI

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• netsh advfirewall set currentprofile state off
• vssadmin delete shadows /all /quiet -> delete shadow copies
• wmic shadowcopy delete -> delete shadow copies
• bcdedit /set {default} bootstatuspolicy ignoreallfailures -> disable system's trigger to call the Error Recovery screen on startup
• cmd.exe /C Bcdedit.exe /set {default} recoveryenabled no -> Disables Windows Recovery on Startup
• netsh firewall set opmode mode=disable
• "%System%\mshta.exe" "{Drive letter}\info.hta" -> Executes dropped ransom note
• "%System%\mshta.exe" "%Desktop%\info.hta" -> Executes dropped ransom note
• "%System%\mshta.exe" "%Public%\desktop\info.hta" -> Executes dropped ransom note

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\Desktop" です。. %Public%フォルダは、すべてのユーザ共通のファイルまたはフォルダのリポジトリとして機能するフォルダです。Windows Vista、7、8の場合、通常 "C:\Users\Public" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\0001{ID-Volume Serial Number}

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{Malware File Name} = "%AppDataLocal%\{malware file name}.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{Malware File Name} = "%AppDataLocal%\{malware file name}.exe"

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International\CpMRU

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International\CpMRU
Enable = 1

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International\CpMRU
Size = 10

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International\CpMRU
InitHits = 100

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International\CpMRU
Factor = 20

作成活動

マルウェアは、以下のファイルを作成します。

• %AppDataLocal%\{Malware File Name}.exe
• %Common Startup%\{Malware File Name}.exe

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。. %Common Startup%フォルダは、すべてのユーザのスタートアップフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\All Users\Start Menu\Programs\Startup" です。また、Windows Vista、7、8の場合、通常 "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup" です。)

ランサムウェアの不正活動

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• %Windows%

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• {File Name}.{File Extension}.id[ID-Volume Serial Number].[datadecrypt@{BLOCKED}q.com].actin

マルウェアが作成する以下のファイルは、脅迫状です。

• {Drive Letter}\info.hta
• %Desktop%\info.hta
• %Public%\desktop\info.hta
  
• %Desktop%\info.hta
• %Public%\desktop\info.txt
• {Drive Letter}\info.txt
  

＜補足＞
インストール

マルウェアは、以下のプロセスを追加します。

• netsh advfirewall set currentprofile state off
• vssadmin delete shadows /all /quiet → シャドウコピーを削除する
• wmic shadowcopy delete → シャドウコピーを削除する
• bcdedit /set {デフォルト} bootstatuspolicy ignoreallfailures → 起動時にエラー回復画面を呼び出すためのシステムのトリガを無効にする
• cmd.exe /C Bcdedit.exe /set {デフォルト} recoveryenabled no → 起動時にWindowsの回復を無効にする
• netsh firewall set opmode mode=disable
• "%System%\mshta.exe" "{ドライブ文字}\info.hta" → 作成された脅迫状を実行する
• "%System%\mshta.exe" "%Desktop%\info.hta" → 作成された脅迫状を実行する
• "%System%\mshta.exe" "%Public%\desktop\info.hta" → 作成された脅迫状を実行する

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\0001{ID-ボリュームシリアル番号}

作成活動

マルウェアは、以下のファイルを作成します。

• %AppDataLocal%\{マルウェアのファイル名}.exe
• %Common Startup%\{マルウェアのファイル名}.exe

その他

マルウェアは、以下のファイルについては暗号化しません。

• boot.ini
• bootfont.bin
• ntldr
• ntdetect.com
• io.sys

ランサムウェアの不正活動

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• {ファイル名}.{ファイルの拡張子}.id[ID-ボリュームシリアル番号].[datadecrypt@{BLOCKED}q.com].actin

マルウェアが作成する以下のファイルは、脅迫状です。

• {ドライブ文字}\info.hta
• %Desktop%\info.hta
• %Public%\desktop\info.hta 
• %Desktop%\info.hta
• %Public%\desktop\info.txt
• {ドライブ文字}\info.txt