RANSOM_CRYPTEAR.Q

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。 マルウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %System Root%\Users\Public\Desktop\KEY - For Windows 7 and above
• %System Root%\Documents and Settings\All Users\Desktop\KEY - For Windows XP and below
• %User Temp%\tmp_{random alphanumeric characters}.bat - Used to delete initially executed copy of itself
• %User Temp%\bmp{random alphanumeric characters}.bmp - ransom note

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\{random folder name}\{random file name}.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、以下のプロセスを追加します。

• "%System%\wbem\WMIC.exe" shadowcopy delete /nointeractive - To delete shadow copies

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKCU\Software\Microsoft\
Windows\CurrentVersion\Run
{F7F46583-3332-97BB-A2B0-DDED4E9F8B15} = %Application Data%\{random folder name}\{random file name}.exe

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CLASSES_ROOT\.locked

HKEY_CLASSES_ROOT\{random 8 alphanumeric characters}

HKEY_CLASSES_ROOT\{random 8 alphanumeric characters}\DefaultIcon

HKEY_CLASSES_ROOT\{random 8 alphanumeric characters}\Shell

HKEY_CLASSES_ROOT\{random 8 alphanumeric characters}\Shell\
Open

HKEY_CLASSES_ROOT\{random 8 alphanumeric characters}\Shell\
Open\Command

HKEY_CURRENT_USER\Software\Classes\
.locked

HKEY_CURRENT_USER\Software\Classes\
{random 8 alphanumeric characters}

HKEY_CURRENT_USER\Software\Classes\
{random 8 alphanumeric characters}\DefaultIcon

HKEY_CURRENT_USER\Software\Classes\
{random 8 alphanumeric characters}\Shell

HKEY_CURRENT_USER\Software\Classes\
{random 8 alphanumeric characters}\Shell\Open

HKEY_CURRENT_USER\Software\Classes\
{random 8 alphanumeric characters}\Shell\Open\
Command

マルウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CLASSES_ROOT\.locked
{Default} = "{random 8 alphanumeric characters}"

HKEY_CLASSES_ROOT\{random 8 alphanumeric characters}\DefaultIcon
{Default} = "%SystemRoot%\SysWow64\shell32.dll,47"

HKEY_CLASSES_ROOT\{random 8 alphanumeric characters}\Shell\
Open\Command
{Default} = "mshta.exe vbscript:Execute("CreateObject(""WScript.Shell"").Run(""[HOW_TO_DECRYPT_FILES].html""):close")"

HKEY_CURRENT_USER\Software\Microsoft
{random 8 alphanumeric characters}US = {hex values}

HKEY_CURRENT_USER\Software\Classes\
.locked
{Default} = "{random 8 alphanumeric characters}"

HKEY_CURRENT_USER\Software\Classes\
{random 8 alphanumeric characters}\DefaultIcon
{Default} = "%SystemRoot%\SysWow64\shell32.dll,47"

HKEY_CURRENT_USER\Software\Classes\
{random 8 alphanumeric characters}\Shell\Open\
Command
{Default} = "mshta.exe vbscript:Execute("CreateObject(""WScript.Shell"").Run(""[HOW_TO_DECRYPT_FILES].html""):close")"

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://vnfwwp{BLOCKED}s.onion.link/gate
• http://vnfwwp{BLOCKED}s.onion.to:443
• http://vnfwwp{BLOCKED}s.onion.sx
• http://vnfwwp{BLOCKED}s.onion.top
• http://vnfwwp{BLOCKED}s.onion.rip
• http://vnfwwp{BLOCKED}s.onion.pw

マルウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

ランサムウェアの不正活動

マルウェアは、以下の文字列を含むファイルを暗号化します。

• .h
• .bk
• .kpdx
• .swp
• .ppam
• .bkp
• .rat
• .sbk
• .mfw
• .fb
• .900
• .abk
• .kc2
• .old
• .nsg
• .rpb
• .htm
• .backup
• .cdr
• .dbk
• .sqlite
• .back
• .x3f
• .bak
• .c
• .tjl
• .xlw
• .tbk
• .djvu
• .sav
• .002
• .mkb
• .potm
• .wbk
• .vb
• .spf
• .html
• .ac
• .cdf
• .ckf
• .dcr
• .bup
• .sqlitedb
• .backupdb
• .wpd
• .bkc
• .adb
• .bkn
• .apj
• .tib
• .bmp
• .fbw
• .ibd
• .dtb
• .aspx
• .pbd
• .ott
• .jou
• .obj
• .spi
• .pdf
• .cvt
• .ppsm
• .bke
• .nsd
• .asp
• .ppsx
• .otg
• .log
• .nx2
• .cdr5
• .fh
• .pptm
• .bpw
• .odp
• .accdr
• .iiq
• .cfp
• .cdx
• .asf
• .nxl
• .awg
• .txt
• .hbk
• .dwg
• .thm
• .ai
• .lua
• .ddoc
• .mmw
• .agdl
• .plc
• .fhd
• .craw
• .php
• .js
• .crt
• .xis
• .sda
• .wps
• .3ds
• .odc
• .odf
• .wav
• .indd
• .qbm
• .srf
• .pot
• .psafe3
• .rdb
• .py
• .sti
• .xlr
• .xltx
• .oab
• .xls
• .orf
• .sql
• .s3db
• .exf
• .kdc
• .ns2
• .drw
• .eps
• .ptx
• .flac
• .tga
• .dbf
• .pem
• .tif
• .dbx
• .accde
• .kbx
• .mdb
• .svg
• .ffd
• .bat
• .m
• .png
• .dat
• .jin
• .mpg
• .cib
• .gry
• .cr2
• .p7c
• .ce1
• .jpeg
• .fdb
• .x11
• .dot
• .idx
• .sxc
• .wmv
• .pspimage
• .say
• .dxf
• .grey
• .qbx
• .ms11
• .jpg
• .xlsb
• .mdf
• .dgc
• .001
• .mdc
• .nop
• .m4v
• .jar
• .doc
• .gray
• .pef
• .qby
• .wb2
• .erf
• .sas7bdat
• .act
• .qbb
• .rm
• .mef
• .bgt
• .java
• .odm
• .qbr
• .sr2
• .dotm
• .pcd
• .vob
• .stw
• .bdb
• .ost
• .cdr6
• .accdb
• .mp3
• .incpas
• .pat
• .rwz
• .mp4
• .oil
• .3g2
• .tex
• .jsp
• .odg
• .st7
• .swf
• .nd
• .flv
• .db3
• .rw2
• .srw
• .war
• .p12
• .asm
• .sdf
• .oth
• .cs
• .blend
• .3dm
• .tar
• .ce2
• .std
• .dds
• .csv
• .design
• .ibz
• .pptm
• .st6
• .avi
• .sxw
• .p7b
• .xlk
• .cpp
• .3fr
• .fxg
• .pab
• .sxg
• .raf
• .class
• .raw
• .cdrw
• .xml
• .vhd
• .qbw
• .nsf
• .ndd
• .bay
• .jpe
• .dtd
• .prf
• .sldm
• .ycbcra
• .nwb
• .pdd
• .cmt
• .vhdx
• .nef
• .dotx
• .otp
• .st8
• .mos
• .pst
• .mrw
• .ads
• .zip
• .nyf
• .sxi
• .xlm
• .php5
• .ibank
• .ait
• .bank
• .db3
• .myd
• .mov
• .accdt
• .design
• .dcs
• .potx
• .fla
• .xltm
• .csl
• .dxb
• .gz
• .docm
• .arw
• .3pr
• .pdb
• .ddd
• .ora
• .pfx
• .sldx
• .key
• .pbl
• .db-
• .crw
• .cdr3
• .ldf
• .ersql
• .pct
• .rwl
• .xla
• .dxg
• .xlt
• .fmb
• .phtml
• .cgm
• .wallet
• .ach
• .ab4
• .pptx
• .psd
• .cls
• .der
• .srt
• .ns4
• .st4
• .sxd
• .ods
• .xlsm
• .edb
• .rar
• .pages
• .dac
• .dc2
• .nk2
• .sxm
• .docx
• .xlsx
• .3gp
• .ns3

マルウェアは、以下のディレクトリ内で確認されたファイルを暗号化します。

• %Program Files%\microsoft sql server
• %Program Files%\microsoft\exchange server
• %User Profile%
• {Drive Letter}:\*

(註：%Program Files%フォルダは、プログラムファイルのフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Program Files"、64bitのOS上で32bitのアプリケーションを実行している場合、 "C:\Program Files (x86)" です。.. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.)

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• windows
• windows.old
• $windows.~bt
• $windows.~ws
• $Recycle.bin
• $recycle.bin
• system volume information
• msocache
• perflogs
• boot
• winnt
• program files (x86)
• program files
• temp

マルウェアは、以下の名称を利用して暗号化されたファイルのファイル名を改称します。

• {random file name}.locked

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted File Path}\[HOW_TO_DECRYPT_FILES].html