Ransom.Win64.ALBABAT.THLAABC

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

特定のフォルダ内のファイルを暗号化します。 身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Application Data%\Protect\S-3-5-25-0067212291-1140412766-535520311-1000\23aa4cc77f591dfc237480bbd95f6ba_84bd4d53-ac30-4946-a8d6-0787bbe453
• %User Profile%\Albabat\Albabat.log
• %User Profile%\Albabat\Albabat.ekey
• %User Profile%\Albabat\www\banner.jpg
• %User Profile%\Albabat\www\faq.html
• %User Profile%\Albabat\www\style.css
• %User Profile%\Albabat\www\script.js
• %Desktop%\Albabat.lnk → shortcut to open the ransom note

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。. %Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\Desktop" です。)

マルウェアは、以下のフォルダを作成します。

• %Application Data%\Protect\S-3-5-25-0067212291-1140412766-535520311-1000
• %User Profile%\Albabat
• %User Profile%\Albabat\www

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。)

他のシステム変更

マルウェアは、以下のレジストリ値を変更し、デスクトップの壁紙を変更します。

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %User Profile%\Albabat\wallpaper_albabat.jpg

マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。

• %User Profile%\Albabat\wallpaper_albabat.jpg
  

その他

マルウェアは、以下を実行します。

• It displays a fake error message box and will proceed to its malicious routine once the window is closed:
  
• It moves the initially executed sample to the Application Data folder:
  • %Application Data%\{Malware Name}.exe

ランサムウェアの不正活動

マルウェアは、以下のディレクトリ内で確認されたファイルを暗号化します。

• %User Profile%\Pictures
• %User Profile%\Imágenes
• %User Profile%\Imagens
• %User Profile%\Documents
• %User Profile%\Documentos
• %User Profile%\OneDrive\Pictures
• %User Profile%\OneDrive\Images
• %User Profile%\OneDrive\Imágenes
• %User Profile%\OneDrive\Imagens
• %User Profile%\OneDrive\Área de Trabalho
• %User Profile%\OneDrive\Área de trabajo
• %User Profile%\OneDrive\Desktop
• %User Profile%\OneDrive\Documents
• %User Profile%\OneDrive\Documentos
• %User Profile%\OneDrive\Contacts
• %User Profile%\OneDrive\Contactos
• %User Profile%\OneDrive\Cofre Pessoal
• %User Profile%\OneDrive\Personal Safe
• D:\Pictures
• D:\Images
• D:\Imágenes
• D:\Imagens
• D:\Documents
• D:\Documentos
• %Public%\Documents
• %Public%\Pictures
• %User Profile%\CLionProjects
• %User Profile%\IntelliJProjects
• %User Profile%\RustroverProjects
• %User Profile%\Desktop
• %User Profile%\OneDrive
• %User Profile%
• A:\
• B:\
• E:\
• F:\
• G:\
• H:\
• I:\
• X:\
• D:\
• %User Profile%\Downloads
• D:\Downloads

(註：%User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。. %Public%フォルダは、すべてのユーザ共通のファイルまたはフォルダのリポジトリとして機能するフォルダです。Windows Vista、7、8の場合、通常 "C:\Users\Public" です。)

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• NTUSER.DAT
• Albabat.ekey
• Albabat.key
• wallpaper_albabat.jpg
• README.txt
• FAQ.txt
• privkey.pem
• Thumbs.db
• .DS_Store

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• Searches
• AppData
• System Volume Information
• steamapps
• ansel
• tmp
• node_modules
• cache
• tkinter
• tcl
• vendor
• target
• venv
• env
• Mozilla
• Chrome
• pypoetry
• vimfiles
• viminfosite-packages
• scoop
• go

マルウェアが作成する以下のファイルは、脅迫状です。

• %User Profile%\Albabat\README.html
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .abbt
• .pyd
• ._pth
• .CHK
• .pickle
• .url
• .tmp
• .dat
• .exe
• .lnk
• .win
• .bin
• .cab
• .inf
• .lib
• .tcl
• .cat
• .so
• .msi
• .vpk
• .vc
• .cur
• .ini
• .bik
• .sfx
• .xnb
• .ttf
• .otf
• .woff
• .woff2
• .vfont
• .resource
• .N2PK
• .log
• .pkg
• .desktop
• .dll
• .pkr
• .arc
• .sig
• .bk2
• .arz
• .swf
• .qt
• .wma
• .mp2
• .vdf
• .pdb
• .nfo
• .whl