Ransom.Win32.SHADE.THHOAAI

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %All Users Profile%\Windows\csrss.exe

(註：%All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。)

マルウェアは、以下のファイルを作成します。

• %User Temp%\{random}\lock
• %User Temp%\{random}\state
• %User Temp%\{random}\unverified-microdesc-consensus
• %User Temp%\{random}\cached-certs
• %User Temp%\{random}\cached-microdesc-consensus
• %User Temp%\{random}\cached-microdescs.new
• %Application Data%\{Random characters}.bmp ← ransomware wallpaper

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のプロセスを追加します。

• %System%\cmd.exe chcp
• %System%\vssadmin.exe List Shadows
• %System%\vssadmin.exe Delete Shadows /All /Quiet

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、以下のフォルダを作成します。

• %User Temp%\{random}
• %All Users Profile%\Windows

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Client Server Runtime Subsystem = "%All Users Profile%\Windows\csrss.exe"

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\System32\
Configuration

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\System32\
Configuration
xVersion = "4.0.0.1"

HKEY_LOCAL_MACHINE\SOFTWARE\System32\
Configuration
xpk = "{PUBLIC KEY}"

HKEY_LOCAL_MACHINE\SOFTWARE\System32\
Configuration
xmode = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\System32\
Configuration
xi = "{Random characters}"

HKEY_LOCAL_MACHINE\SOFTWARE\System32\
Configuration
xstate = {number}

HKEY_LOCAL_MACHINE\SOFTWARE\System32\
Configuration
xcnt = "{number}"

HKEY_LOCAL_MACHINE\SOFTWARE\System32\
Configuration
shsnt = "{number}"

HKEY_LOCAL_MACHINE\SOFTWARE\System32\
Configuration
shst = "{number}"

HKEY_LOCAL_MACHINE\SOFTWARE\System32\
Configuration
sh1 = "{number}"

HKEY_LOCAL_MACHINE\SOFTWARE\System32\
Configuration
sh2 = "{number}"

マルウェアは、以下のレジストリ値を変更し、デスクトップの壁紙を変更します。

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %Application Data%\{Random characters}.bmp

マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。

その他

マルウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• http://whatismyipaddress.com/
• http://whatsmyip.net/

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}p2xzclh6fd.onion/{path}
  where {path} can be any of the following:
  • reg.php
  • prog.php
  • err.php
  • cmd.php
  • sys.php
  • shd.php
  • mail.php

ランサムウェアの不正活動

マルウェアは、以下の文字列を含むファイルを暗号化します。

• .3g2
• .3gp
• .7z
• .ai
• .asp
• .avi
• .bak
• .bin
• .bmp
• .ce
• .cer
• .cfm
• .cpp
• .cs
• .css
• .csv
• .dat
• .db
• .dbf
• .dmp
• .do
• .doc
• .fl
• .flv
• .fn
• .gif
• .htm
• .html
• .ic
• .ini
• .jpg
• .jsp
• .log
• .lst
• .m4v
• .mdb
• .mk
• .mkv
• .mov
• .mp
• .mp3
• .mp4
• .mpg
• .ods
• .pdf
• .ph
• .php
• .pk
• .pl
• .pn
• .png
• .pps
• .ppt
• .ps
• .psd
• .py
• .rar
• .rm
• .rss
• .rt
• .rtf
• .sa
• .sql
• .svg
• .swf
• .sy
• .tar
• .tex
• .tif
• .tt
• .tx
• .txt
• .vb
• .vc
• .wav
• .wm
• .wmv
• .wp
• .wpd
• .wps
• .ws
• .xls
• .xml
• .zi
• .zip

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• desktop.ini
• boot.ini
• Bootfont.bin
• ntuser.ini
• NTUSER.DAT
• IconCache.db

マルウェアは、以下の名称を利用して暗号化されたファイルのファイル名を改称します。

• {random characters}.{ID}.crypted000007

マルウェアが作成する以下のファイルは、脅迫状です。

• {Drive letter}:\README{1-10}.txt
• %Desktop%\README{1-10}.txt

(註：%Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\Desktop" です。)

マルウェアは、以下の内容を含む脅迫状のテキストファイルを残します。