Ransom.Win32.STOP.CJ

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、上記で作成されたフォルダ内にダウンロードしたファイルを保存します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

身代金要求文書のファイルを作成します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %AppDataLocal%\{GUID}\{Malware Filename}.exe

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

マルウェアは、以下のファイルを作成します。

• %SystemRoot%\SystemID\PersonalID.txt

マルウェアは、以下のプロセスを追加します。

• icacls "%AppDataLocal%\{GUID}" /deny *S-1-1-0:(OI)(CI)(DE,DC)
• "{Malware Path}\{Malware Filename}.exe" --Admin IsNotAutoStart IsNotTask

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

マルウェアは、以下のフォルダを作成します。

• %AppDataLocal%\{GUID} → where downloaded files and copies of itself are located
• %SystemRoot%\SystemID

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• {1D6FC66E-D1F3-422C-8A53-C0BBCF3D900D}
• {FBB4BCC6-05C7-4ADD-B67B-A98A697323C1}

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
SysHelper = %AppLocalData%\{GUID}\{Malware Filename}.exe --AustoStart

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion
SysHelper = 1

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://{BLOCKED}g.top/files/penelop/updatewin.exe → Detected as Trojan.Win32.MALREP.THOABAAI
• http://{BLOCKED}g.top/files/penelop/updatewin1.exe → Detected as Trojan.Win32.MALREP.THOABAAI
• http://{BLOCKED}g.top/files/penelop/updatewin2.exe → Detected as Trojan.Win32.MALREP.THOABAAI
• http://{BLOCKED}g.top/files/penelop/3.exe
• http://{BLOCKED}g.top/files/penelop/4.exe
• http://{BLOCKED}g.top/files/penelop/5.exe

マルウェアは、上記で作成されたフォルダ内にダウンロードしたファイルを保存します。

情報漏えい

マルウェアは、以下の情報を収集します。

• Computer Name
• User Name

その他

マルウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• https://api.2ip.ua/geo.json
  
  • It terminates and deletes itself on the affected system if the return of the IP address location is any of the following:
  • RU (Russia)
  • BY (Belarus)
  • UA (Ukraine)
  • AZ (Azerbaijan)
  • AM (Armenia)
  • TJ (Tajikistan)
  • KZ (Kazakhstan)
  • KG (Kyrgyzstan)
  • UZ (Uzbekistan)
  • SY (Syrian Arab Republic)

マルウェアは、以下を実行します。

• Connects to the URL to get the arguments needed for "--Service" and "--ForNetRes" to perform its routine:
  
  • http://{BLOCKED}g.top/ydtftysdtyftysdfsdpen3/get.php?pid={PID}&first={True/False}

ただし、情報公開日現在、このWebサイトにはアクセスできません。

マルウェアは、以下のパラメータを受け取ります。

• --Admin → runs the malware as admin
• --AutoStart → executes using autorun registry keys.
• --ForNetRes {argument/s from URL}
• --Service {PID of parent malware} {argument/s from URL}
• IsAutoStart/IsNotAutoStart → executes malware as an autostart or not
• IsTask/IsNotTask → executes malware as a task or not

以下のスケジュールされたタスクを追加します：

• Task Name: Time Trigger Task
  
  • Trigger: Every 5 minutes
  • Task to be run: %AppLocalData%\{GUID}\{Malware Filename}.exe --Task

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• ntuser.dat
• ntuser.dat.LOG1
• ntuser.dat.LOG2
• ntuser.pol
• .sys
• .ini
• .DLL
• .dll
• .blf
• .bat
• .lnk
• .regtrans-ms

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• {Drive Letter}\$Recycle.Bin
• {Drive Letter}\$WINDOWS.~BT
• {Drive Letter}\dell
• {Drive Letter}\Documents and Settings
• {Drive Letter}\Games
• {Drive Letter}\Intel
• {Drive Letter}\MSOCache
• {Drive Letter}\PerfLogs
• {Drive Letter}\Program Files
• {Drive Letter}\Program Files (x86)
• {Drive Letter}\ProgramData
• {Drive Letter}\ProgramData\Desktop
• {Drive Letter}\ProgramData\Microsoft
• {Drive Letter}\ProgramData\Package Cache
• {Drive Letter}\Recovery
• {Drive Letter}\System Volume Information
• {Drive Letter}\SystemID
• {Drive Letter}\Users\%username%\AppData\Local
• {Drive Letter}\Users\%username%\AppData\Roaming
• {Drive Letter}\Users\All Users
• {Drive Letter}\Users\Default
• {Drive Letter}\Users\Default User
• {Drive Letter}\Users\Public
• {Drive Letter}\Windows
• {Drive Letter}\Windows.old

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .lokd

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Directory}\_readme.txt