Ransom.Win32.ROADSWEEP.THLBHBB

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• %System%cmd.exe

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、以下のフォルダを作成します。

• %System Root%\HI{Mounted drive letter}

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\Screenlimitsdevices#77!

その他

マルウェアは、以下を実行します。

• It requires that the count of arguments be greater than or equal to 7 and must be odd.
• When argument count is not satisfied, it shows the following window to open a PDF file then displays an error:
  
  
  
• It encrypts files found in the following drive types:
  • Removable Drives
  • Fixed Drives
  • Remote/Network Drives
  • CR-ROM Drives
• It tries to mount each volume.
• It creates an anonymous pipe.

ランサムウェアの不正活動

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• how_to_unlock_myfiles.txt
• windows
• common
• program files
• program files (x86)
• perflogs
• system volume information
• temporary internet files
• templates
• boot
• windows.old
• all users
• boot.ini
• bootmgr
• bootmgr.efi
• bootmgfw.efi
• desktop.ini
• iconcache.db
• ntldr
• ntuser.dat
• ntuser.dat.log
• ntuser.ini
• thumbs.db
• $recycle.bin

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .lck

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Directory}\How_To_Unlock_MyFiles.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• exe
• dll
• sys
• lnk
• lck