RANSOM_CRYPTESLA.LD

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、バックドア活動の機能を備えていません。

マルウェアは、Internet Explorer（IE）のゾーン設定を変更します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。 マルウェアは、実行後、自身を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %User Profile%\Documents\{random filename}.exe (with non-Administrator Privileges)
• %Windows%\{random filename}.exe (with Administrator Privileges)

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• 345432-123rvr4

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random} = "%System%\cmd.exe /c start "" "%Windows%\{random filename}.exe"" (Note: with Administrator Privileges)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random} = "%System%\cmd.exe /c start "" "%User Profile%\Documents\{random filename}.exe "" (Note: with non-Administrator Privileges)

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\zzzsys

HKEY_CURRENT_USER\Software\{Installation ID}

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
EnabledLinkConnections = "1"

HKEY_CURRENT_USER\Software\{Installation ID}
data = {encrypted information}

HKEY_CURRENT_USER\Software\zzzsys
ID = {Installation ID}

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、バックドア活動の機能を備えていません。

Webブラウザのホームページおよび検索ページの変更

マルウェアは、IEのゾーン設定を変更します。

作成活動

マルウェアは、以下のファイルを作成します。

• %User Profile%\Documents\recover_file_{random letters}.txt
• %Desktop%\_ReCoVeRy_.HTM
• %Desktop%\_ReCoVeRy_.TXT
• %Desktop%\_ReCoVeRy_.png

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.. %Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.)

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}edicalcentre.com/wp-content/uploads/wstr.php
• http://{BLOCKED}lizedaccess.co.uk/wp-content/uploads/2015/09/wstr.php
• http://{BLOCKED}nstitut.org/wp-content/themes/bstr.php
• http://www.{BLOCKED}aticauno.net/gamma/tmp/bstr.php
• http://www.{BLOCKED}aticauno.net/gamma/tmp/wstr.php
• http://{BLOCKED}our.info/users/28c4fe1/wstr.php

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• .pif
• .com
• .bat
• .cmd
• .lnkimage
• .vfolder
• .zip
• .dvr-ms
• .wvx
• .wmx
• .wmv
• .wm
• .mpv2
• .mpg
• .mpeg
• .mpe
• .mpa
• .mp2v
• .mp2
• .m1v
• .IVF
• .asx
• .asf
• .avi
• .wax
• .snd
• .rmi
• .m3u
• .au
• .aiff
• .aifc
• .aif
• .midi
• .mid
• .wma
• .wav
• .mp3
• .wmf
• .tiff
• .tif
• .rle
• .png
• .jpeg
• .jpe
• .jpg
• .jfif
• .gif
• .emf
• .dib
• .wsh
• .wsf
• .wsc
• .ws
• .vsw
• .vst
• .vss
• .vsmacros
• .vbs
• .vbe
• .vb
• .shs
• .shb
• .sct
• .scr
• .scf
• .reg
• .pst
• .prg
• .prf
• .pl
• .pif
• .pcd
• .ops
• .mst
• .msp
• .mshxml
• .msh
• .msc
• .mdz
• .mdw
• .mdt
• .mde
• .mdb
• .mda
• .mcf
• .maw
• .mav
• .mau
• .mat
• .mas
• .mar
• .maq
• .mam
• .mag
• .maf
• .mad
• .lnk
• .ksh
• .jse
• .js
• .its
• .isp
• .ins
• .inf
• .hlp
• .grp
• .gadget
• .fxp
• .exe
• .csh
• .crt
• .cpl
• .cmd
• .chm
• .cer
• .bat
• .bas
• .app
• .adp
• .ade
• .xbap
• .xps
• .pdf
• .pot
• .hta
• .xlt
• .pps
• .xlw
• .dot
• .rtf
• .ppt
• .xls
• .doc
• .xml
• .hta
• .docx
• .mrwref
• .indd
• .rofl
• .mpqge
• .vfs0
• .mcmeta
• .vpp_pc
• .arch00
• .itdb
• .mddata
• .sidd
• .sidn
• .pkpass
• .ibank
• .dazip
• .blob
• .layout
• .menu
• .ztmp
• .syncdb
• .mdbackup
• .hkdb
• .hplg
• .hvpl
• .icxs
• .docm
• .xlsx
• .xlsm
• .xlsb
• .pptx
• .pptm
• .accdb
• .jpeg
• .desc
• .litesql
• wallet
• .rgss3a
• .forge
• .asset
• .litemod
• .d3dbsp
• .tiff
• .txt
• .bak

マルウェアは、以下のファイルを開きます。

• %Desktop%\_ReCoVeRy_.HTM
• %Desktop%\_ReCoVeRy_.TXT
• %Desktop%\_ReCoVeRy_.png

(註：%Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.)

マルウェアは、以下のファイル名を使用し、暗号化されたファイルを改称します。

• {original file name and extenstion}.mp3

マルウェアは、以下のファイルの属性を隠しファイルおよびシステムファイル属性に設定します。

• {dropped copy of itself}

マルウェアは、実行後、自身を削除します。

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %User Profile%\Documents\{random filename}.exe (ユーザが非管理者の場合)
• %Windows%\{random filename}.exe (ユーザが管理者権限を持つ場合)

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

• HKEY_CURRENT_USER\Software\Microsoft\ Windows\CurrentVersion\Run {random} = "%System%\cmd.exe /c start "" "%Windows%\{random filename}.exe"" (注：管理者権限の場合)
• HKEY_CURRENT_USER\Software\Microsoft\ Windows\CurrentVersion\Run {random} = "%System%\cmd.exe /c start "" "%User Profile%\Documents\{random filename}.exe "" (注：非管理者権限の場合)

マルウェアは、以下を実行します。

• マルウェアは、以下のコマンドを実行してシャドウコピーを削除します。
  • %System%\wbem\WMIC.exe" shadowcopy delete /nointeractive
• マルウェアは、以下の文字列を含むプロセスを終了します。
  • askmg <- Task Manager
  • rocex <- Process Explorer
  • egedi <- Regedit
  • sconfi <- MS Config
  • cmd <- Command Prompt
• マルウェアは、以下の文字列を含むファイルは暗号化しません。
  • recove
• マルウェアは、ハードディスク、リムーバブルドライブ、ネットワークドライブ、共有ドライブ内のすべてのファイルを暗号化します。
• マルウェアは、マルウェアが暗号化するファイルが存在するフォルダに_ReCoVeRy_+{random 5 letters}.png、_ReCoVeRy_+{random 5 letters}.txt、および_ReCoVeRy_+{random 5 letters}.htmlを作成します。
• マルウェアは、暗号化が終了した後以下の脅迫状を表示します。
  
  
  

• マルウェアは、以下のディレクトリ内のファイルは暗号化しません。
  • Windows
  • Program Files
  • %All Users Profile%\Application Data (Windows XP以前)
  • ProgramData (Windows Vista以降)

マルウェアは、以下の情報を収集して、自身のサーバへ報告します。

• 感染状況
• 「Bitcoin（ビットコイン）」のアドレス
• 暗号化されたファイル全体のサイズ
• マルウェアのバージョン
• オペレーティングシステム（OS）の情報
• インストールID