Ransom.Win32.RYUK.HUG

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• {malware path}\{random}.exe

マルウェアは、以下のファイルを作成します。

• %System Root%\Document and Settings\Default User\window.bat -> deletes shadow copies and backup
• %User Startup%\start.bat -> deletes shadow copies, backup
• %User Startup%\RyukReadMe.html -> ransom notes
• %Common Startup%\start.bat -> deletes shadow copies, backup

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %User Startup%フォルダは、現在ログオンしているユーザのスタートアップフォルダです。Windows 98およびMEの場合、通常 "C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows NTの場合、通常 "C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows 2003(32-bit)、XP、2000(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows Vista、7、8、 8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。. %Common Startup%フォルダは、すべてのユーザのスタートアップフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\All Users\Start Menu\Programs\Startup" です。また、Windows Vista、7、8の場合、通常 "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup" です。)

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• RyukReadMe.html
• UNIQUE_ID_DO_NOT_REMOVE
• PUBLIC
• sysvol
• netlogon
• PRIVATE

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• \Windows\
• AhnLab
• Chrome
• Mozilla
• $Recycle.Bin
• WINDOWS

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .RYK

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Directory}\RyukReadMe.html
  

以下のファイル拡張子を持つファイルについては暗号化しません：$$ DATA $$

• .dll
• .exe
• .ini
• .lnk
• hrmlog