Ransom.Win64.PARYTICKET.THBBDBB

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、実行後、自身を削除します。

特定のファイル拡張子を持つファイルを暗号化します。 身代金要求文書のファイルを作成します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• {Malware Path}\{UID based on current timestamp and machine's mac address}.exe
  • Drops a copy of itself for every file it will encrypt.

マルウェアは、以下のプロセスを追加します。

• Only adds the following processes if no argument was passed:
  • cmd /c copy {malware filename}.exe {UID based on current timestamp and machine's mac address}.exe
  • {UID based on current timestamp and machine's mac address}.exe {file path and file name of file to be encrypted}

マルウェアは、実行後、自身を削除します。

情報漏えい

マルウェアは、以下のパラメータを受け取ります。

• {Path of file to be encrypted}

ランサムウェアの不正活動

以下の拡張子を持つファイルを暗号化します：$$ DATA $$

• .docx
• .doc
• .dot
• .odt
• .pdf
• .xls
• .xlsx
• .rtf
• .ppt
• .pptx
• .one
• .xps
• .pub
• .vsd
• .txt
• ​​.jpg
• .jpeg
• .bmp
• .ico
• .png
• .gif
• .sql
• .xml
• .pgsql
• .zip
• .rar
• .exe
• .msi
• .vdi
• .ova
• .avi
• .dip
• .epub
• .iso
• .sfx
• .inc
• .contact
• .url
• .mp3
• .wmv
• .wma
• .wtv
• .cab
• .acl
• .cfg
• .chm
• .crt
• .css
• .dat
• .dll
• .html
• .htm

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• Windows
• Program Files

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .[vot{BLOCKED}rjb@{BLOCKED}ail.com].encryptedJB

マルウェアが作成する以下のファイルは、脅迫状です。

• %Desktop%\read_me.html