Ransom_CERBER.V

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、実行後、自身を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\LOF\smss_svc.exe
• %Application Data%\LOF\ntcsrss.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、以下のフォルダを作成します。

• %Application Data%\LOF
• %User Profile%\CryptnetUrlCache\MetaData
• %User Profile%\Microsoft\CryptnetUrlCache
• %User Profile%\CryptnetUrlCache\Content

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Update Logical Disk Manager Administrative Service = "%Application Data%\LOF\smss_svc.exe"

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\SOFTWARE\uti

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\uti
cat = "LOF"

HKEY_CURRENT_USER\Software\uti
main = "smss_svc.exe"

HKEY_CURRENT_USER\Software\uti
chk = "ntcsrss.exe"

HKEY_CURRENT_USER\Software\uti
name = "Update Logical Disk Manager Administrative Service"

HKEY_CURRENT_USER\Software\uti
del = "{malware path and file name}"

HKEY_CURRENT_USER\Software\uti
h = "7fc"

HKEY_CURRENT_USER\Software\uti
id = "12871"

HKEY_CURRENT_USER\Software\uti
hl = "aHR0cDovL21wb3J0ZXNhbC5jb20vZ28ucGhw"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%Application Data%\LOF\smss_svc.exe = "{random characters}"

作成活動

マルウェアは、以下のファイルを作成します。

• %User Profile%\MetaData\2BF68F4714092295550497DD56F57004
• %User Profile%\Content\2BF68F4714092295550497DD56F57004
• %User Profile%\MetaData\94308059B57B3142E455B38A6EB92015
• %User Profile%\Content\94308059B57B3142E455B38A6EB92015
• %User Temp%\Cab13.tmp
• %User Temp%\Tar15.tmp

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}filterfa.com/uplod.php
• http://{BLOCKED}filterfa.com/gb.php?command=getip
• http://{BLOCKED}filterfa.com/gb.php?command=getid
• http://{BLOCKED}filterfa.com/gb.php?command=ghl&id=12871
• http://{BLOCKED}filterfa.com/gb.php?command=dl&id=12871
• http://{BLOCKED}filterfa.com/gb.php?{random characters}
• http://{BLOCKED}filterfa.com/gb.php?command=getbackconnect&id=12871
• {BLOCKED}0.7.15
• {BLOCKED}.148.106
• {BLOCKED}191.71
• {BLOCKED}.240.88

マルウェアは、実行後、自身を削除します。

このウイルス情報は、自動解析システムにより作成されました。