RANSOM_ACKNYS.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、実行後、自身を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成し実行します。

• %Application Data%\msiexec.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、実行後、自身を削除します。

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
LegalNoticeCaption = "SynAck FES"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
LegalNoticeText = "Hello. Your files are encrypted. To restore files, please contac t us by e-mail: synack@{BLOCKED}mail.com or synack@{BLOCKED}rmail.com."

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• conime.exe
• excel.exe
• fdhost.exe
• httpd.exe
• ilsvc.exe
• javaw.exe
• lua.exe
• lync.exe
• melsc.exe
• memis.exe
• memta.exe
• memtas
• mepoc.exe
• mepocs
• mepopc.exe
• metray.exe
• mmc.exe
• monad.exe
• mqsvc.exe
• msoia.exe
• mysql
• mysqld.exe
• named.exe
• nssm.exe
• php.exe
• python.exe
• qbvss
• qbw32.exe
• sesvc
• skype.exe
• srvany.exe
• ssms.exe
• steam.exe
• store.exe
• tabtip.exe
• vds.exe
• vksts.exe
• vmvss
• vssvc.exe
• w3svc
• w3wp.exe
• wmsvc

作成活動

マルウェアは、以下のファイルを作成します。

• {Encrypted Folder}\==READ==THIS==PLEASE=={Hex values}.txt

その他

マルウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• http://ipinfo.io

ランサムウェアの不正活動

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• {File Name}{File Extension}.{Random 10 Characters}

マルウェアが作成する以下のファイルは、脅迫状です。