Ransom.Win64.JKWERLO.LNS.go

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

特定のフォルダ内のファイルを暗号化します。 身代金要求文書のファイルを作成します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• powershell “vssadmin delete shadows /all /quiet”
• powershell “netsh advfirewall set allprofiles state off”
• %Program Files%\Windows Defender\MpCmdRun.exe -RemoveDefinitions -All
• powershell “reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\FileSystem /v LongPathsEnabled /t REG_DWORD /d 1 /f”
• powershell “reg add HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v LocalAccountTokenFilterPolicy /t REG_DWORD /d 1 /f”
• powershell “bcdedit /set recoveryenabled No”
• powershell "Get-NetNeighbor | Select-Object IPAddress"
• powershell “del -Path %Downloads%\doc -Recurse -Force”
• powershell “Get-ChildItem -Path ‘%Downloads%’ -Filter *.lnk | Remove-Item -Force”
• powershell “Get-ChildItem -Path ‘%Downloads%’ -Filter *.zip | Remove-Item -Force”
• powershell “Get-ChildItem -Path ‘%Downloads%’ -Filter *.html | Remove-Item -Force”

(註：%Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。)

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• via taskkill /F /IM:
  • sql.exe
  • oracle.exe
  • excel.exe
  • infopath.exe
  • msaccess.exe
  • onenote.exe
  • outlook.exe
  • powerpnt.exe
  • thunderbird.exe
  • tbirdconfig.exe
  • visio.exe
  • winword.exe
  • wordpad.exe
  • notepad.exe

その他

マルウェアは、以下を実行します。

• It gathers information about network neighbors on the local computer.
• It disables the automatic recovery feature in Windows by modifying the Boot Configuration Data (BCD).
• It disables the Windows Firewall for all network profiles.
• It then deletes its dropped files from the system.

ランサムウェアの不正活動

マルウェアは、以下のディレクトリ内で確認されたファイルを暗号化します。

• %Desktop%
• %Documents%
• %Downloads%
• %Pictures%

(註：%Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\Desktop" です。)

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Directory}/IMPORTANT_README.TXT