RANSOM_ALFA.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、異なるファイル名を用いて以下のフォルダ内に自身のコピーを作成します。

• %Application Data%\Microsoft\Essential\msestl32.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、以下のファイルを作成し実行します。

• %Desktop%\README HOW TO DECRYPT YOUR FILES.HTML - serves as ransom note
• %Desktop%\README HOW TO DECRYPT YOUR FILES.TXT - serves as ransom note

(註：%Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.)

マルウェアは、以下のプロセスを追加します。

• explorer.exe
• dllhost.exe

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
MSEstl = %Application Data%\Microsoft\Essential\msestl32.exe

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\(random values)

マルウェアは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\(random values)
(random name) = (hex values)

作成活動

マルウェアは、以下のファイルを作成します。

• %User Profile%\Documents\README HOW TO DECRYPT YOUR FILES.TXT - serves as ransom note
• %User Profile%\Documents\README HOW TO DECRYPT YOUR FILES.HTML - serves as ransom note
• {root drive}\README HOW TO DECRYPT YOUR FILES.TXT - serves as ransom note
• {root drive}\README HOW TO DECRYPT YOUR FILES.HTML - serves as ransom note

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.)

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}y.ru/(random values)

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• .c
• .h
• .m
• .ai
• .cs
• .db
• .nd
• .pl
• .ps
• .py
• .rm
• .3dm
• .3ds
• .3fr
• .3g2
• .3gp
• .ach
• .arw
• .asf
• .asx
• .avi
• .bak
• .bay
• .cdr
• .cer
• .cpp
• .cr2
• .crt
• .crw
• .dbf
• .dcr
• .dds
• .der
• .des
• .dng
• .doc
• .dtd
• .dwg
• .dxf
• .dxg
• .eml
• .eps
• .erf
• .fla
• .flvv
• .hpp
• .iif
• .jpe
• .jpg
• .kdc
• .key
• .lua
• .m4v
• .max
• .mdb
• .mdf
• .mef
• .mov
• .mp3
• .mp4
• .mpg
• .mrw
• .msg
• .nef
• .nk2
• .nrw
• .oab
• .obj
• .odb
• .odc
• .odm
• .odp
• .ods
• .odt
• .orf
• .ost
• .p12
• .p7b
• .p7c
• .pab
• .pas
• .pct
• .pdb
• .pdd
• .pdf
• .pef
• .pem
• .pfx
• .pps
• .ppt
• .prf
• .psd
• .pst
• .ptx
• .qba
• .qbb
• .qbm
• .qbr
• .qbw
• .qbx
• .qby
• .r3d
• .raf
• .raw
• .rtf
• .rw2
• .rwl
• .sql
• .sr2
• .srf
• .srt
• .srw
• .svg
• .swf
• .tex
• .tga
• .thm
• .tlg
• .txt
• .vob
• .wav
• .wb2
• .wmv
• .wpd
• .wps
• .no
• .xlk
• .xlr
• .xls
• .yuv
• .back
• .docm
• .docx
• .flac
• .indd
• .java
• .jpeg
• .pptm
• .pptx
• .xlsb
• .xlsm
• .xlsx