RANSOM_CRYPTESLA.USVNC18

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、バックドア活動の機能を備えていません。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。 マルウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %User Profile%\Documents\{random filename}.exe

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.)

マルウェアは、以下のファイルを作成します。

• %Desktop%\RECOVER{random 5 characters}.txt
• %Desktop%\RECOVER{random 5 characters}.png
• %Desktop%\RECOVER{random 5 characters}.html
• %User Profile%\Documents\RECOVER{random 5 characters}.txt
• %User Profile%\Documents\RECOVER{random 5 characters}.png
• %User Profile%\Documents\RECOVER{random 5 characters}.html
• %User Profile%\Documents\recover_file.txt

(註：%Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
_{random characters} = "%System%\cmd.exe /c start %User Profile%\Documents\{random filename}.exe"

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
system
EnableLinkedConnections = "1"

HKEY_CURRENT_USER\Software\trueimg
ID = "{ID}"

HKEY_CURRENT_USER\Software\{ID}
data = "{hex values}"

マルウェアは、インストールの過程で以下のレジストリキーまたはレジストリ値を変更します。

HKEY_CURRENT_USER\Software\trueimg

HKEY_CURRENT_USER\Software\{ID}

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、バックドア活動の機能を備えていません。

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}k.com/phsys.php
• http://{BLOCKED}e.net/phsys.php
• http://{BLOCKED}tion.info/plugins/phsys.php
• http://{BLOCKED}toreforyou.com/phsys.php
• http://{BLOCKED}oherbal.com/phsys.php
• http://{BLOCKED}senseprotection.com/phsys.php

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• .docx
• .mrwref
• .indd
• .rofl
• .mpqge
• .vfs0
• .mcmeta
• .vpp_pc
• .arch00
• .itdb
• .mddata
• .sidd
• .sidn
• .pkpass
• .ibank
• .dazip
• .blob
• .layout
• .menu
• .ztmp
• .syncdb
• .mdbackup
• .hkdb
• .hplg
• .hvpl
• .icxs
• .docm
• .xlsx

マルウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

マルウェアは、以下の情報を収集して、自身のサーバへ報告します。

• 感染状況
• 「Bitcoin（ビットコイン）」のアドレス
• 暗号化されたファイル全体のサイズ
• マルウェアのバージョン
• オペレーティングシステム（OS）の情報
• インストールID

マルウェアは、暗号化されたファイルに拡張子を追加しません。

マルウェアは、全ての固定ドライブ、リムーバルドライブおよび共有ドライブ内のファイルを暗号化します。

マルウェアは、シャドウコピーを削除するために以下のコマンドを実行します。

• vssadmin.exe Delete Shadows /All /Quiet

マルウェアは、暗号化の後に以下の脅迫状を開きます。

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。