RANSOM_CRYPTOMIX.R039C0DLQ17

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %ProgramData%\{10 Random Hex Values}.exe

(註：%ProgramData%フォルダは、Windows Vista および 7 の場合、通常、"C:\ProgramData"、Windows 2000、XP (32ビット)、Server 2003 の場合、"C:\Program Files"、Windows XP (64ビット) の場合、"C:\Program Files (x86)" です。)

マルウェアは、以下のプロセスを追加します。

• cmd.exe /C sc stop VVS
• cmd.exe /C sc stop wscsvc
• cmd.exe /C sc stop WinDefend
• cmd.exe /C sc stop wuauserv
• cmd.exe /C sc stop BITS
• cmd.exe /C sc stop ERSvc
• cmd.exe /C sc stop WerSvc
• cmd.exe /C vssadmin.exe Delete Shadows /All /Quiet
• cmd.exe /C bcdedit /set {default} recoveryenabled No
• cmd.exe /C bcdedit /set {default} bootstatuspolicy ignoreallfailures

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• {8 RANDOM CHARACTER}_offset

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{12 Random Hex Values} = "{Malware Folder}\{Malware Name}"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{10 Random Hex Values} = "%ProgramData%\{10 Random Hex Values}.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
{10 Random Hex Values} = "%ProgramData%\{10 Random Hex Values}.exe"

他のシステム変更

マルウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion
{8 Random Hex Values} = "{Number of Encrypted Files}"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion
{10 Random Hex Values} = "{Decryption Key}"

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• _HELP_INSTRUCTION.TXT
• ntldr
• NTLDR
• NTDETECT.COM
• ntdetect.com
• Desktop
• DESKTOP

マルウェアは、以下の名称を利用して暗号化されたファイルのファイル名を改称します。

• {32 Random Characters}.tastylock

マルウェアが作成する以下のファイルは、脅迫状です。