RANSOM_CCP.THFBOAH

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ランサムウェアの不正活動

マルウェアは、以下の文字列を含むファイルを暗号化します。

• (Note: Case-sensitive)
• .txt
• .doc
• .exe
• .docx
• .xls
• .index
• .pdf
• .zip
• .rar
• .css
• .lnk
• .xlsx
• .ppt
• .pptx
• .odt
• .jpg
• .bmp
• .png
• .csv
• .sql
• .mdb
• .sln
• .php
• .asp
• .aspx
• .html
• .xml
• .psd
• .bk
• .bat
• .mp3
• .mp4
• .wav
• .wma
• .avi
• .divx
• .mkv
• .mpeg
• .wmv
• .mov
• .ogg

マルウェアは、以下のディレクトリ内で確認されたファイルを暗号化します。

• %System Root%\Users\{Username}\{Specific Folders}
  where the Specific Folders are the following:
  
  • Desktop
  • Downloads
  • Documents
  • Pictures
  • Music
  • Videos

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .CyberSCCP

マルウェアが作成する以下のファイルは、脅迫状です。

• %Desktop%\READ_IT.txt

(註：%Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.)

マルウェアは、以下の内容を含む脅迫状のテキストファイルを残します。

• Files have been encrypted by CyberSCCP
• Send me some bitcoin or COOOOOOKIEEEEESSS
• And I also hate night clubs, desserts, being drunk. send email to me {BLOCKED}CCP@protonmail.com