Ransom.Win32.STOP.THGOAAI

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、上記で作成されたフォルダ内にダウンロードしたファイルを保存します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %AppDataLocal%\{Hash of Machine GUID}\{malware file name}.exe

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

マルウェアは、以下のファイルを作成します。

• %System Root%\SystemID\PersonalID.txt

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

マルウェアは、以下のプロセスを追加します。

• "{Executed Malware File Path}\{Executed Malware File Name}.exe" --Task -> malware is executed via Task Scheduler
• icacls "%AppDataLocal%\{Hash of Machine GUID}" /deny *S-1-1-0:(OI)(CI)(DE,DC)
• "%AppDataLocal%\{Hash of Machine GUID}\updatewin.exe -- Admin" ← downloaded and detected as Trojan.Win32.MALREP.THOABAAI
• "%AppDataLocal%\{Hash of Machine GUID}\updatewin1.exe -- Admin" ← downloaded and detected as Trojan.Win32.MALREP.THOABAAI

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

マルウェアは、以下のフォルダを作成します。

• %AppDataLocal%\{Hash of Machine GUID}

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• {Hash of Machine GUID}

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
SysHelper = ""%AppDataLocal%\{Hash of Machine GUID}\{Malware File Name}.exe" --AutoStart"

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion
SysHelper = 1

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://{BLOCKED}.ug/tesptc/penelop/updatewin.exe
• http://{BLOCKED}.ug/tesptc/penelop/updatewin1.exe
• http://{BLOCKED}.ug/tesptc/penelop/updatewin2.exe
• As of this writing, below the following sites are inaccessible:
  • http://{BLOCKED}.ug/tesptc/penelop/3.exe
  • http://{BLOCKED}.ug/tesptc/penelop/4.exe
  • http://{BLOCKED}.ug/tesptc/penelop/5.exe

トレンドマイクロの製品では、ダウンロードしたファイルを以下として検出します。

• Trojan.Win32.MALREP.THOABAAI

マルウェアは、上記で作成されたフォルダ内にダウンロードしたファイルを保存します。

その他

マルウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• https://api.2ip.ua/geo.json

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• .sys
• .bat
• .dll
• .lnk
• .ini
• _readme.txt
• ntuser.dat

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• C:\$Recycle.Bin\
• C:\PerfLogs\
• C:\$WINDOWS.~BT\
• C:\dell\
• C:\Intel\
• C:\MSOCache\
• C:\Games\
• C:\Windows.old\
• %AppDataLocal%
• %Application Data%
• %Windows%
• %ProgramData%\Microsoft\
• %ProgramData%\Package Cache\
• %ProgramData%\Desktop\
• %Public%
• %Program Files% ; (for both 32 and 64 bit OS)
• {Logical Drive Letter}\Users\%username%\AppData\Roaming\
• {Logical Drive Letter}\Users\%username%\AppData\Local\
• {Logical Drive Letter}\Windows\
• {Logical Drive Letter}\PerfLogs\
• {Logical Drive Letter}\ProgramData\Desktop\
• {Logical Drive Letter}\ProgramData\Microsoft\
• {Logical Drive Letter}\ProgramData\Package Cache\
• {Logical Drive Letter}\Users\Public\
• {Logical Drive Letter}\$Recycle.Bin\
• {Logical Drive Letter}\$WINDOWS.~BT\
• {Logical Drive Letter}\dell\
• {Logical Drive Letter}\Intel\
• {Logical Drive Letter}\MSOCache\
• {Logical Drive Letter}\Program Files\
• {Logical Drive Letter}\Program Files (x86)\
• {Logical Drive Letter}\Games\

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.. %ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 . %Public%フォルダは、すべてのユーザ共通のファイルまたはフォルダのリポジトリとして機能するフォルダです。Windows Vista、7、8の場合、通常 "C:\Users\Public" です。. %Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。)

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .litar

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted File Directory}\_readme.txt