Ransom.Win32.WORLDGRASS.THFOABB

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

特定のファイル拡張子を持つファイルを暗号化します。 特定のフォルダ内のファイルを暗号化します。 身代金要求文書のファイルを作成します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• D:\notpad.exe
• {Removable Drive}\notpad.exe

マルウェアは、以下のファイルを作成します。

• %User Startup%\Windows Anti-Malware Servise.url

(註：%User Startup%フォルダは、現在ログオンしているユーザのスタートアップフォルダです。Windows 98およびMEの場合、通常 "C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows NTの場合、通常 "C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows 2003(32-bit)、XP、2000(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows Vista、7、8、 8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。)

マルウェアは、以下のプロセスを追加します。

• vssadmin delete shadows /all /quiet
• wmic shadowcopy delete
• bcdedit /set {default} bootstatuspolicy ignoreallfailures
• bcdedit /set {default} recoveryenabled no
• wbadmin delete catalog -quiet

他のシステム変更

マルウェアは、以下のレジストリ値を変更し、デスクトップの壁紙を変更します。

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %User Temp%\{9 random characters}.jpg

マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。

• %User Temp%\{9 random characters}.jpg
  

ランサムウェアの不正活動

以下の拡張子を持つファイルを暗号化します：$$ DATA $$

• .1cd
• .3ds
• .3fr
• .3g2
• .accda
• .accdc
• .accdw
• .adp
• .ai
• .ai3
• .ai4
• .ai5
• .ai6
• .ai7
• .ai8
• .arw
• .ascx
• .asm
• .asmx
• .avs
• .bin
• .cfm
• .dbx
• .dc3
• .dcm
• .dcr
• .dmg
• .dwt
• .epsp
• .exe
• .exr
• .f4v
• .geo
• .glx
• .iff
• .key
• .kwm
• .max
• .mda
• .mde
• .mdf
• .mdw
• .mht
• .mpv
• .msg
• .myi
• .nef
• .odc
• .odm
• .odp
• .oft
• .onetoc2
• .opt
• .orf
• .p12
• .p7b
• .pam
• .pfx
• .pict
• .pl
• .pls
• .pps
• .ppsm
• .ps
• .psb
• .r3d
• .rgbe
• .rss
• .safe
• .slk
• .srn
• .svgz
• .swift
• .tab
• .tar.gz
• .tif
• .vbs
• .vob
• .xlk
• .xlm
• .xlt
• .xltm

マルウェアは、以下のディレクトリ内で確認されたファイルを暗号化します。

• The following specific folders in C drive:
  • %Desktop%
  • %User Profile%\Links
  • %User Profile%\Contacts
  • %User Profile%\Documents
  • %User Profile%\Downloads
  • %User Profile%\Pictures
  • %User Profile%\Music
  • %User Profile%\OneDrive
  • %User Profile%\Saved Games
  • %Favorites%
  • %User Profile%\Searches
  • %User Profile%\Videos
  • %Public%\Documents
  • %Public%\Pictures
  • %Public%\Music
  • %Public%\Videos
  • %Public%\Desktop
• In other available drives

(註：%Public%フォルダは、すべてのユーザ共通のファイルまたはフォルダのリポジトリとして機能するフォルダです。Windows Vista、7、8の場合、通常 "C:\Users\Public" です。)

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .34r7hGr455

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Folder}\Read ME (Decryptor).txt