RANSOM_DILMALOCKER.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Desktop%\dilminha.dat
• %Desktop%\background.bmp

(註：%Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.)

マルウェアは、以下のファイルを作成し実行します。

• %User Profile%\Documents\03cfef087143723d911484f9568dcf63.exe

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.)

他のシステム変更

マルウェアは、以下のレジストリ値を変更し、デスクトップの壁紙を変更します。

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %Desktop%\background.bmp

その他

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• doc
• docx
• xls
• xlsx
• ppt
• pptx
• pst
• ost
• msg
• eml
• vsd
• vsdx
• txt
• csv
• rtf
• 123
• wks
• wk1
• pdf
• dwg
• onetoc2
• snt
• jpeg
• jpg
• docb
• docm
• dot
• dotm
• dotx
• xlsm
• xlsb
• xlw
• xlt
• xlm
• xlc
• xltx
• xltm
• pptm
• pot
• pps
• ppsm
• ppsx
• ppam
• potx
• potm
• edb
• hwp
• 602
• sxi
• sti
• sldx
• sldm
• gpg
• aes
• ARC
• PAQ
• bz2
• tbk
• bak
• tar
• tgz
• gz
• 7z
• rar
• zip
• backup
• iso
• vcd
• bmp
• png
• gif
• raw
• cgm
• tif
• tiff
• nef
• psd
• ai
• svg
• djvu
• m4u
• m3u
• mid
• wma
• flv
• 3g2
• mkv
• 3gp
• mp4
• mov
• avi
• asf
• mpeg
• vob
• mpg
• wmv
• fla
• swf
• wav
• mp3
• sh
• class
• jar
• java
• rb
• asp
• php
• jsp
• brd
• sch
• dch
• dip
• pl
• vb
• vbs
• ps1
• bat
• cmd
• js
• asm
• h
• pas
• cpp
• c
• cs
• suo
• sln
• ldf
• mdf
• ibd
• myi
• myd
• frm
• odb
• dbf
• db
• mdb
• accdb
• sql
• sqlitedb
• sqlite3
• asc
• lay6
• lay
• mml
• sxm
• otg
• odg
• uop
• std
• sxd
• otp
• odp
• wb2
• slk
• dif
• stc
• sxc
• ots
• ods
• 3dm
• max
• 3ds
• uot
• stw
• sxw
• ott
• odt
• pem
• p12
• csr
• crt
• key
• pfx
• der
• kdbx

ランサムウェアの不正活動

マルウェアは、以下のディレクトリ内で確認されたファイルを暗号化します。

• {Drive Letter}:\

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• ProgramData
• PerfLogs
• $Recycle.Bin
• Arquivos de Programas
• WINDOWS
• System Volume Information
• Microsoft
• Arquivos de programas

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .dilmaV1

マルウェアが作成する以下のファイルは、脅迫状です。

• %Desktop%\RECUPERE_SEUS_ARQUIVOS.html

(註：%Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.)