Ransom.Win64.GHOSTLOCKER.THKBOBC

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

特定のフォルダ内のファイルを暗号化します。 身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• sc stop C:\
• cmd start /c %Desktop%\RansomNote.html

(註：%Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\Desktop" です。)

自動実行方法

マルウェアは、Windows起動時に自動実行されるよう＜User Startup＞フォルダ内に以下のファイルを作成します。

• %User Startup%\{Malware Filename and Extension} → copy of itself

(註：%User Startup%フォルダは、現在ログオンしているユーザのスタートアップフォルダです。Windows 98およびMEの場合、通常 "C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows NTの場合、通常 "C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows 2003(32-bit)、XP、2000(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows Vista、7、8、 8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。)

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• using HTTP POST:
  • http://{BLOCKED}.{BLOCKED}.{BLOCKED}.246/incrementLaunch
    Information sent:
    • username : {Hard-coded username value}
  
  
  • http://{BLOCKED}.{BLOCKED}.{BLOCKED}.246/addInfection
    Information sent:
    • id : {Generated ID}
    • identifier : {Hard-coded identifier value}
    • infection_date : {Date executed}
    • ip : "your_ip" → Hard-coded value
    • key : {Generated Key}
    • ransom_amount : "0.00138" → Hard-coded value
    • status : "your_status" → Hard-coded value
    • username : {Hard-coded username value}
• It prints the response from the C2 to the commandline.
• If no response is received, execution is terminated.

マルウェアは、以下を実行します。

• It uploads files and its full file path information to the C2.
  • File extensions:
    • .doc
    • .docx
    • .xls
    • .xlsx
  • Using HTTP POST:
    • http://{BLOCKED}.{BLOCKED}.{BLOCKED}.246/upload
  • Information sent:
    • {Hard-coded username}
    • {Generated ID}
    • {Full File Path}
    • {File Contents}
• It displays a console that logs the status of the execution and encryption.
  

ランサムウェアの不正活動

マルウェアは、以下のディレクトリ内で確認されたファイルを暗号化します。

• C:\

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• C:\Windows

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .ghost

マルウェアが作成する以下のファイルは、脅迫状です。

• %Desktop%\RansomNote.html
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .ghost
• .doc
• .docx
• .xls
• .xlsx