Ransom.Win32.STOP.THFAHAI

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、上記で作成されたフォルダ内にダウンロードしたファイルを保存します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %AppDataLocal%\{GUID}\{malware file name}.exe

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

マルウェアは、以下のファイルを作成します。

• %System Root%\SystemID\PersonalID.txt

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

マルウェアは、以下のプロセスを追加します。

• icacls "%AppDataLocal%\{GUID}" /deny *S-1-1-0:(OI)(CI)(DE,DC)
• "{Executed Malware File Path}\{Executed Malware File Name}.exe" --Admin- IsNotAutoStart IsNotTask ← malware is executed as Admin and not executed as autorun registry or via task

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

マルウェアは、以下のフォルダを作成します。

• %System Root%\SystemID
• %AppDataLocal%\{GUID} ← two(2) folders one(1) for drop copy and one(1) for downloaded files.

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• {FBB4BCC6-05C7-4ADD-B67B-A98A697323C1}
• {1D6FC66E-D1F3-422C-8A53-C0BBCF3D900D}

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
SysHelper = ""%AppDataLocal%\{GUID}\{Malware File Name}.exe" --AutoStart"

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion
SysHelper = 1

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://{BLOCKED}2.hk/tesptc/penelop/updatewin1.exe
• http://{BLOCKED}2.hk/tesptc/penelop/updatewin2.exe
• As of this writing, below are the following inaccessible sites:
  • http://{BLOCKED}2.hk/tesptc/penelop/updatewinx.exe
  • http://{BLOCKED}2.hk/tesptc/penelop/3.exe
  • http://{BLOCKED}2.hk/tesptc/penelop/4.exe
  • http://{BLOCKED}2.hk/tesptc/penelop/5.exe

トレンドマイクロの製品では、ダウンロードしたファイルを以下として検出します。

• Trojan.Win32.MALREP.THOABAAI

マルウェアは、上記で作成されたフォルダ内にダウンロードしたファイルを保存します。

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• ntuser.dat
• .sys
• .bat
• .dll
• .lnk
• .ini
• _readme.txt
• .DLL
• .blf
• ntuser.dat.LOG1
• ntuser.dat.LOG2
• ntuser.pol
• .regtrans-ms

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• C:\Users\Public\
• C:\SystemID\
• C:\Users\Default User\
• C:\Users\Public\
• C:\Users\All Users\
• C:\Users\Default\
• C:\Documents and Settings\
• C:\ProgramData\
• C:\Recovery\
• C:\System Volume Information\
• C:\Users\%username%\AppData\Roaming\
• C:\Users\%username%\AppData\Local\
• C:\Windows\
• C:\PerfLogs\
• C:\ProgramData\Microsoft\
• C:\ProgramData\Package Cache\
• C:\Users\Public\
• C:\$Recycle.Bin\
• C:\$WINDOWS.~BT\
• C:\dell\
• C:\Intel\
• C:\MSOCache\
• C:\Program Files\
• C:\Program Files (x86)\
• C:\Games\
• C:\Windows.old\
• D:\Users\%username%\AppData\Roaming\
• D:\Users\%username%\AppData\Local\
• D:\Windows\
• D:\PerfLogs\
• D:\ProgramData\Desktop\
• D:\ProgramData\Microsoft\
• D:\ProgramData\Package Cache\
• D:\Users\Public\
• D:\$Recycle.Bin\
• D:\$WINDOWS.~BT\
• D:\dell\
• D:\Intel\
• D:\MSOCache\
• D:\Program Files\
• D:\Program Files (x86)\
• D:\Games\
• E:\Users\%username%\AppData\Roaming\
• E:\Users\%username%\AppData\Local\
• E:\Windows\
• E:\PerfLogs\
• E:\ProgramData\Desktop\
• E:\ProgramData\Microsoft\
• E:\ProgramData\Package Cache\
• E:\Users\Public\
• E:\$Recycle.Bin\
• E:\$WINDOWS.~BT\
• E:\dell\
• E:\Intel\
• E:\MSOCache\
• E:\Program Files\
• E:\Program Files (x86)\
• E:\Games\
• F:\Users\%username%\AppData\Roaming\
• F:\Users\%username%\AppData\Local\
• F:\Windows\
• F:\PerfLogs\
• F:\ProgramData\Desktop\
• F:\ProgramData\Microsoft\
• F:\Users\Public\
• F:\$Recycle.Bin\
• F:\$WINDOWS.~BT\
• F:\dell\
• F:\Intel\

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .herad

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted File Directory}\_readme.txt