Ransom.Win64.RANGGOL.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、実行後、自身を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Application Data%\Windows_Update\Windows_Security.exe
• %User Temp%\Windows_Security.exe
• %Desktop%\Instructions.html ← ransom notes

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\Desktop" です。)

マルウェアは、以下のプロセスを追加します。

• cmd /C \"mkdir %Application Data%\Windows_Update\"
• cmd /C \"timeout /t 5 & del {Original executable file} & start %Application Data%\Windows_Update\Windows_Security.exe"
• cmd /C \"timeout /t 5 & del {Original executable file} & start %User Temp%\Windows_Security.exe"
• cmd /C \"vssadmin.exe Delete Shadows /All /Quiet\"
• cmd /C REG ADD HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /V Windows-Defender /t REG_SZ /F /D %Application Data%\Windows_Update\Windows_Security.exe

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のフォルダを作成します。

• %Application Data%\Windows_Update

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、実行後、自身を削除します。

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Windows-Defender = %Application Data%\Windows_Update\Windows_Security.exe

ランサムウェアの不正活動

マルウェアは、以下の文字列を含むファイルを暗号化します。

• .asp
• .aspx
• .php
• .key
• .pps
• .pptx
• .mkv
• .mov
• .mpg
• .mpeg
• .avi
• .flv
• .wmv
• .swf
• .vob
• .class
• .cpp
• .java
• .rar
• .zip
• .tar.gz
• .ods
• .xlsx
• .odt
• .docx
• .pdf
• .wks
• .txt
• .jar
• .gif
• .bmp
• .jpg
• .jpeg
• .png
• .psd
• .svg
• .tif
• .tiff
• .mid
• .midi
• .mp3
• .wav
• .wma
• .txt
• .mdb
• .dbf
• .xml
• .sql
• .tar
• .bak

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• tmp
• winnt
• Application Data
• AppData
• Program Files (x86)
• Program Files
• temp
• thumbs.db
• Recycle.Bin
• System Volume Information
• Boot
• Windows
• .enc
• Instructions
• Windows_Security.exe

マルウェアは、以下の名称を利用して暗号化されたファイルのファイル名を改称します。

• {Base64 encoded Filename and extension}.enc

マルウェアが作成する以下のファイルは、脅迫状です。

• %Desktop%\Instructions.html