Ransom.Win64.AZVO.B

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %ProgramData%\rdpclient.exe ← copy of %System%\msiexec.exe or %System%\perfmon.exe with injected malicious code

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Local\azov
• Local\Kasimir_{letter of drive where files are being encrypted}

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Bandera = %ProgramData%\rdpclient.exe

その他

マルウェアは、以下を実行します。

• It searches for files in Removable, Fixed or Network drives
  • Then it injects malicious code to files that meet the following conditions:
  • If the file is not found in avoided folders
  • If the file extension is .exe
  • If the file size is less than 20MB
  • If the file is a 64-bit executable
  • If the section containing the entry point has enough space for the malicious code
• It checks if msiexec.exe or perfmon.exe is present in %System% folder
  • Then it checks if rdpclient.exe exists in %ProgramData%
  • Creates a file named rdpclient.exe, copies the content of msiexec.exe or perfmon.exe into rdpclient.exe, and injects malicious code into it.

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• RESTORE_FILES.txt

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• Windows
• ProgramData
• Cache2\entries
• Low\Content.IE5
• User Data\Default\Cache
• Documents and Settings
• All Users

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Path}\RESTORE_FILES.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .exe
• .dll
• .ini