Ransom.Win32.STOP.THIODAI

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、上記で作成されたフォルダ内にダウンロードしたファイルを保存します。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %AppDataLocal%\{GUID}\{malware filename}.exe

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

マルウェアは、以下のファイルを作成します。

• %System Root%\SystemID\PersonalID.txt

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

マルウェアは、以下のプロセスを追加します。

• "{Malware path}\{Malware filename}" --Admin IsNotAutoStart IsNotTask
• icacls "%AppDataLocal%\{GUID}" /deny *S-1-1-0:(OI)(CI)(DE,DC)

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

マルウェアは、以下のフォルダを作成します。

• %System Root%\SystemID
• %AppDataLocal%\{GUID} - two folders created for dropped copy and downloaded files, respectively.

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• {1D6FC66E-D1F3-422C-8A53-C0BBCF3D900D}
• {FBB4BCC6-05C7-4ADD-B67B-A98A697323C1}

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
SysHelper = ""%AppDataLocal%\{GUID}\{malware filename}.exe" --AutoStart"

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion
SysHelper = 1

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://{BLOCKED}1.ug/files/cost/updatewin.exe
• http://{BLOCKED}1.ug/files/cost/updatewin1.exe
• http://{BLOCKED}1.ug/files/cost/updatewin2.exe
• http://{BLOCKED}1.ug/files/cost/3.exe
• http://{BLOCKED}1.ug/files/cost/4.exe
• http://{BLOCKED}1.ug/files/cost/5.exe

マルウェアは、上記で作成されたフォルダ内にダウンロードしたファイルを保存します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

情報漏えい

マルウェアは、以下の情報を収集します。

• Computer Name
• User Name

その他

マルウェアは、脆弱性を利用した感染活動を行いません。

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• .bat
• .blf
• .DLL
• .dll
• .ini
• .lnk
• .regtrans-ms
• .sys
• ntuser.dat
• ntuser.dat.LOG1
• ntuser.dat.LOG2
• ntuser.pol

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• {drive letter}\Windows
• {drive letter}\Windows.old
• {drive letter}\$Recycle.Bin
• {drive letter}\$WINDOWS.~BT
• {drive letter}\dell
• {drive letter}\Documents and Settings
• {drive letter}\Games
• {drive letter}\Intel
• {drive letter}\MSOCache
• {drive letter}\PerfLogs
• {drive letter}\Program Files (x86)
• {drive letter}\Program Files (x86)\Google
• {drive letter}\Program Files (x86)\Internet Explorer
• {drive letter}\Program Files (x86)\Mozilla Firefox
• {drive letter}\Program Files\
• {drive letter}\Program Files\Google
• {drive letter}\Program Files\Internet Explorer
• {drive letter}\Program Files\Mozilla Firefox
• {drive letter}\ProgramData
• {drive letter}\ProgramData\Desktop
• {drive letter}\ProgramData\Microsoft
• {drive letter}\ProgramData\Package Cache
• {drive letter}\Recovery
• {drive letter}\System Volume Information
• {drive letter}\SystemID
• {drive letter}\Users\%username%\AppData\Local
• {drive letter}\Users\%username%\AppData\Roaming
• {drive letter}\Users\All Users
• {drive letter}\Users\Default User
• {drive letter}\Users\Default
• {drive letter}\Users\Public

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .seto

マルウェアが作成する以下のファイルは、脅迫状です。

• {folder of encrypted files}\_readme.txt