Ransom.Win32.YATRON.THCABAI

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、感染コンピュータ上のすべての物理ドライブおよびリムーバブルドライブ内に自身のコピーを作成します。 マルウェアは、ソフトウェアに存在する脆弱性を利用して、同じネットワーク上にある他のコンピュータへの感染活動をします。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Windows%\lan.dll - contains exploit configuration

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

他のシステム変更

マルウェアは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableTaskMgr = 1

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
Hidden = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
EnableLUA = 0

感染活動

マルウェアは、ピアツーピア（P2P）ネットワーク上で使用される以下のフォルダ内に自身のコピーを作成します。

• %User Profile%\My Documents\Downloads
• %User Profile%\My Documents\My Shared Folder
• %User Profile%\My Documents\Shared
• %Application Data%\Ares\My Shared Folder
• %Desktop%\Downloads
• %Program Files%\Shareaza\Downloads
• %Program Files%\emule\incoming\
• %Program Files%\kazaa\my shared folder\
• %Program Files%\kazaa lite\my shared folder\
• %Program Files%\kazaa lite k++\my shared folder\
• %Program Files%\icq\shared folder\
• %Program Files%\grokster\my grokster\
• %Program Files%\bearshare\shared\
• %Program Files%\edonkey2000\incoming\
• %Program Files%\morpheus\my shared folder\
• %Program Files%\limewire\shared\
• %Program Files%\tesla\files\
• %Program Files%\winmx\shared

(註：%User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞" です。. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\Desktop" です。. %Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。Windows 2000、Server 2003、XP（32-bit）,Vista（32-bit）、7（32-bit）、8（32-bit）の場合、通常 "C:\Program Files"です。また、Windows XP（64-bit）、Vista（64-bit）、7（64-bit）、8（64-bit）の場合、通常 "C:\Program Files（x86）" です。)

マルウェアは、感染コンピュータ上のすべての物理ドライブおよびリムーバブルドライブ内に自身のコピーを作成します。

マルウェアは、以下のソフトウェアに存在する脆弱性を利用して、ネットワーク上で感染活動をします。

• EternalBlue
• DoublePulsar

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• ProcessHacker
• apateDNS
• mbamgui
• mbam
• AntiLogger
• SbieCtrl
• SpyTheSpy
• SpeedGear
• wireshark
• IPBlocker
• cports
• procexp
• firefox
• vmware
• iexplore
• chrome
• dnSpy
• ILSpy

その他

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• .txt
• .doc
• .tgz
• .dox
• .amv
• .mpv
• .mtv
• .asp
• .aspx
• .html
• .xml
• .psd
• .pdf
• .exe
• .rv
• .rvx
• .ved
• .wm
• .wmv
• .TXT
• .JPG
• .rar
• .xwm
• .vwma
• .midi
• .fla
• .pdf
• .wma
• .ico
• .gif
• .GIF
• .ogg
• .mpg
• .icns
• .RAR
• .png
• .zip
• .BAT
• .Exe
• .c
• .exe
• .PNG
• .7z
• .7Z
• .tar
• .gz
• .h
• .docx
• .mp3
• .xls
• .xlsx
• .ppt
• .sql
• .wmv
• .mp4
• .mp3
• .dll
• .jar
• .pptx
• .odt
• .jpg
• .tar
• .gz
• .bmp
• .pbm
• .rt
• .3g2
• .3gp
• .7zip
• .aaf
• .zip
• .aep
• .aepx
• .aet
• .ai
• .aif
• .as
• .as3
• .asf
• .asp
• .asx
• .avi
• .bmp
• .exe
• .class
• .cpp
• .cs
• .csv
• .dat
• .db
• .dbf
• .doc
• .docb
• .docm
• .docx
• .dot
• .dotm
• .dotx
• .dwg
• .dxf
• .efx
• .eps
• .fla
• .flv
• .gif
• .h
• .idml
• .iff
• .indb
• .indd
• .indl
• .indt
• .inx
• .jar
• .java
• .jpeg
• .jpg
• .js
• .m3u
• .m3u8
• .m4u
• .max
• .mdb
• .mid
• .mkv
• .mov
• .mp3
• .mp4
• .mpa
• .mpeg
• .mpg
• .msg
• .pdb
• .pdf
• .php
• .plb
• .pmd
• .png
• .pot
• .potm
• .potx
• .ppam
• .ppj
• .pps
• .ppsm
• .ppsx
• .ppt
• .pptm
• .pptx
• .prel
• .prproj
• .ps
• .psd
• .py
• .ra
• .rar
• .raw
• .rb
• .rtf
• .sdf
• .sdf
• .ses
• .sldm
• .sldx
• .sql
• .svg
• .swf
• .tif
• .txt
• .vcf
• .vob
• .wav
• .wma
• .wmv
• .wpd
• .wps
• .xla
• .xlam
• .xll
• .xlm
• .xls
• .xlsb
• .xlsm
• .xlsx
• .xlt
• .xltm
• .xltx
• .xlw
• .xml
• .xqx
• .icxs
• .webdoc
• .pdd
• .xbplate
• .fpk
• .1st
• .y
• .eps
• .odt
• .png
• .pst
• .wp5
• .pfx
• .ptx
• .cr2
• .wmv
• .yal
• .epk
• .bsa
• .crt
• .dbf
• .wpd
• .cdr
• .forge
• .csv
• .zip
• .hkx
• .xlsx
• .yml
• .sum
• .odb
• .rgss3a
• .mdb
• .rim
• .mdbackup
• .wps
• .wmv
• .ff
• .wri
• .accdb
• .wma
• .upk
• .iwi
• .docm
• .wgz
• .xx
• .kf
• .xxx
• .3fr
• .der
• .p7b
• .pkpass
• .wire
• .ai
• .wotreplay
• .wpe
• .wdp
• .orf
• .slm
• .wp7
• .mrwref
• .litemod
• .doc
• .ncf
• .wmf
• .zip
• .sie
• .wpl
• .wcf
• .vcf
• .w3x
• .m2
• .zw
• .t13
• .w
• .dcr
• .odc
• .crw
• .vpk
• .x3d
• .zif
• .indd
• .xlsx
• .m3u
• .css
• .avi
• .x
• .esm
• .wm
• .wbm
• .fsh
• .wpb
• .xy
• .vtf
• .0
• .bkf
• .srw
• .3dm
• .xlsm
• .mef
• .ppt
• .jpg
• .mddata
• .sis
• .wn
• .mov
• .pef
• .psd
• .xpm
• .zdc
• .p12
• .raw
• .tax
• .sb
• .odm
• .r3d
• .rwl
• .das
• .z
• .itm
• .xdb
• .xwp
• .m4a
• .sav
• .hplg
• .bik
• .rb
• .hkdb
• .bc7
• .nrw
• .re4
• .pem
• .menu
• .zabw
• .xy3
• .big
• .pak
• .odp
• .mdf
• .rtf
• .lrf
• .rar
• .pptm
• .xdl
• .arch
• .sid
• .wsd
• .cer
• .xld
• .xls
• .ybk
• .syncdb
• .qic
• .dmp
• .asset
• .sidd
• .wsh
• .wp
• .xll
• .wpw
• .mcmeta
• xmind
• .erf
• .wpt
• .p7c
• .dng
• .ltx
• .d3dbsp
• .svg
• .bar
• .x3f
• .x3f
• .rofl
• .xlsm
• .dba
• .3ds
• .ysp
• .c
• .wpa
• .blob
• .ods
• .xyp
• .layout
• .snx
• .py
• .wav
• .mp4wallet
• .sql
• .wp4
• .wpg
• .xf
• .1
• .pptx
• .w
• .dazip
• .2bp
• .lbf
• .jpeg
• .wbz
• .xlgc
• .wbmp
• .t12
• .xmmap
• .jpe
• .ztmp
• .gdb
• .srf
• .xml
• .wdb
• .a
• .wmo
• .sr2
• .wbd
• .z3d
• .xls
• .itdb
• .hvpl
• .xlsb
• .wp6
• .docx
• .desc
• .ntl
• .bay
• .raf
• .wot
• .wmd
• .i
• .vfs0
• .apk
• .fos
• .map
• .zi
• .mpqge
• .tor
• .cfr
• .ibank
• .7z
• .itl
• .js
• .lvl
• .wb2
• .kdb
• .db0
• .qdf
• .wbc

ランサムウェアの不正活動

マルウェアは、以下のディレクトリ内で確認されたファイルを暗号化します。

• %User Profile%\My Documents
• %User Profile%\My Pictures
• %All User Profile%\Desktop
• %Desktop%
• %User Profile%\My Music
• %Common Programs%
• %Application Data%
• %Favorites%
• %User Profile%\My Videos
• %Application Data%\Microsoft\Windows\Network Shortcuts
• %User Profile%\Recent
• %Start Menu%
• %User Startup%
• %User Profile%\Links
• %User Profile%\Contacts
• %User Profile%\Downloads
• %User Profile%\Searches
• %User Profile%\Videos

(註：%User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞" です。. %Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\Desktop" です。. %Common Programs%フォルダは、共通プログラムグループが含まれるフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\All Users\Start Menu\Programs" です。また、Windows Vista、7、8の場合、通常 "C:\ProgramData\Microsoft\Windows\Start Menu\Programs" です。. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %Favorites%フォルダは、現在ログオンしているユーザのお気に入りフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Favorites" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\Favorites" です。. %Start Menu%フォルダは、現在ログオンしているユーザのスタートメニューフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Windows\Start Menu" または "C:\Documents and Settings\＜ユーザ名＞\Start Menu" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu" です。. %User Startup%フォルダは、現在ログオンしているユーザのスタートアップフォルダです。Windows 98およびMEの場合、通常 "C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows NTの場合、通常 "C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows XPの場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。)

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .Yatron

マルウェアは、以下の内容を含む脅迫状のテキストファイルを残します。

• %Desktop%\Read@My.txt