Ransom.Win64.ROYAL.YEN

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• Delete shadow copies:
  • %System%\vssadmin.exe delete shadows /all /quiet

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

その他

マルウェアは、以下を実行します。

• It encrypts files found in the following drives:
  • Fixed Drives
  • Removable Drives
  • Remote Drives
• It avoids encrypting the following network shares:
  • ADMIN$
  • IPC$
• It uses Windows Restart Manager to unlock files it will encrypt.

マルウェアは、以下のパラメータを受け取ります。

• - path {target path} → directory to encrypt
• - id {32 byte characters} → will be used as the victim’s ID
• - ep {integer from 0 to 100} → used to define encryption parameter

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• README.txt

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• $recycle.bin
• $windows.~bt
• $windows.~ws
• boot
• google
• mozilla
• perflogs
• tor browser
• windows
• windows.old
• royal

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .royal

マルウェアが作成する以下のファイルは、脅迫状です。

• {Available directory}\README.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .exe
• .dll
• .bat
• .lnk
• .royal