Ransom.Win64.PEPECRY.THJOEBC

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

特定のファイル拡張子を持つファイルを暗号化します。 特定のフォルダ内のファイルを暗号化します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• {malware filepath}\key.txt
• %Application Data%\enc_test.txt → encrypted afterwards; deleted afterwards
  
• %Application Data%\encrypted_files.txt → list of encrypted files; deleted afterwards
  

マルウェアは、以下のフォルダを作成します。

• %User Temp%\_MEI28082
• %User Temp%\_MEI39722

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• mutex_rr_windows

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Crypter = {malware filepath}\{malware filename}

他のシステム変更

マルウェアは、以下のレジストリキーを変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableTaskMgr = 1

(註：変更前の上記レジストリ値は、「0」となります。)

その他

マルウェアは、以下を実行します。

• It encrypts local and removable drives.
• It does not encrypt files size larger than 512kB.
• It deletes all of its components after file encryption.
• It can disable the task manager of the affected system by modifying registry keys.
• It displays this ransom note after encryption.
  

以下のスケジュールされたタスクを追加します：

• Name = updater47
  Action = vssadmin Delete Shadows /All /Quiet

ランサムウェアの不正活動

以下の拡張子を持つファイルを暗号化します：$$ DATA $$

• dat
• keychain
• sdf
• vcf
• jpg
• png
• tiff
• tif
• gif
• jpeg
• jif
• jfif
• jp2
• jpx
• j2k
• j2c
• fpx
• pcd
• bmp
• svg
• 3dm
• 3ds
• max
• obj
• dds
• psd
• tga
• thm
• tif
• tiff
• yuv
• ai
• eps
• ps
• svg
• indd
• pct
• mp4
• avi
• mkv
• 3g2
• 3gp
• asf
• flv
• m4v
• mov
• mpg
• rm
• srt
• swf
• vob
• wmv
• doc
• docx
• txt
• pdf
• log
• msg
• odt
• pages
• rtf
• tex
• wpd
• wps
• csv
• ged
• key
• pps
• ppt
• pptx
• xml
• json
• xlsx
• xlsm
• xlsb
• xls
• mht
• mhtml
• htm
• html
• xltx
• prn
• dif
• slk
• xlam
• xla
• ods
• docm
• dotx
• dotm
• xps
• ics
• mp3
• aif
• iff
• m3u
• m4a
• mid
• mpa
• wav
• wma
• msi
• php
• apk
• app
• bat
• cgi
• com
• asp
• aspx
• cer
• cfm
• css
• htm
• html
• js
• jsp
• rss
• xhtml
• c
• class
• cpp
• cs
• h
• java
• lua
• pl
• py
• sh
• sln
• swift
• vb
• vcxproj
• dem
• gam
• nes
• rom
• sav
• tgz
• zip
• rar
• tar
• 7z
• cbr
• deb
• gz
• pkg
• rpm
• zipx
• iso
• ged
• accdb
• db
• dbf
• mdb
• sql
• fnt
• fon
• otf
• ttf
• cfg
• ini
• prf
• bak
• old
• tmp
• torrent

マルウェアは、以下のディレクトリ内で確認されたファイルを暗号化します。

• %User Profile%
• {All available local and removable drives}

(註：%User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。)

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• {original filename}.{original extension}.cry