Ransom.Win64.PANDORA.YECCM

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• %System%\cmd.exe vssadmin.exe delete shadows /all /quiet

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• ThisIsMutexa

その他

マルウェアは、以下を実行します。

• It empties the Recycle Bin.
• It uses Windows Restart Manager to unlock files it will encrypt.
• It bypasses Antimalware Scan Interface (AMSI)

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• autorun.inf
• boot.ini
• bootfont.bin
• bootsect.bak
• bootmgr
• bootmgr.efi
• bootmgfw.efi
• desktop.ini
• iconcache.db
• ntldr
• ntuser.dat
• ntuser.dat.log
• ntuser.ini
• thumbs.db
• Program Files
• Program Files (x86)
• #recycle

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• AppData
• Boot
• Windows
• Windows.old
• Tor Browser
• Internet Explorer
• Google
• Opera
• Opera Software
• Mozilla
• Mozilla Firefox
• $Recycle.Bin
• ProgramData
• All Users

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .pandora

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Directory}\Restore_My_Files.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .hta
• .exe
• .dll
• .cpl
• .ini
• .cab
• .cur
• .drv
• .hlp
• .icl
• .icns
• .ico
• .idx
• .sys
• .spl
• .ocx