RANSOM_CONHOOD.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\wallpaper1.bmp - set as desktop wallpaper
• %Desktop%\ROBINHOOD-TIMER.exe
• %User Temp%\Microsoft.Win32.TaskScheduler.dll
• %User Temp%\luncher.exe
• %User Temp%\updater.exe
• %Desktop%\READ_IT.txt - ransom note
• %User Temp%\delete.bat

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.)

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\WinRegistry

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\WinRegistry
Unknown = {yyyy/MM/dd hh:mm:ss}

マルウェアは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %User Temp%\wallpaper1.bmp

(註：変更前の上記レジストリ値は、「{user preference}」となります。)

HKEY_CURRENT_USER\Control Panel\Desktop
TileWallpaper = 0

(註：変更前の上記レジストリ値は、「{user preference}」となります。)

HKEY_CURRENT_USER\Control Panel\Desktop
WallpaperStyle = 1

(註：変更前の上記レジストリ値は、「{user preference}」となります。)

マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。

情報漏えい

マルウェアは、以下の情報を収集します。

• Computer Name
• Username

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• https://syrian223.{BLOCKED}hostapp.com/security.php?info=

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• .Robinhood
• .dll
• .TMP
• .exe

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• Windows
• AppData

マルウェアは、以下の名称を利用して暗号化されたファイルのファイル名を改称します。

• {original filename and extension}.Robinhood