RANSOM_FAKEGLOBE.C

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\__t{Random Characters}.tmp.bat
• %System Root%\Users\Public\{GUID}

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System Root%\Users\Public\{Malware File Name}.exe

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
CertificatesCheck = "%System Root%\Users\Public\{Malware File Name}.exe"

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Terminal Server Client\Servers

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• .$er
• .4db
• .4dd
• .4d
• .4mp
• .abs
• .abx
• .accdb
• .accdc
• .accde
• .accdr
• .accdt
• .accdw
• .accft
• .adn
• .adp
• .aft
• .ahd
• .alf
• .ask
• .awdb
• .azz
• .bdb
• .bib
• .bnd
• .bok
• .btr
• .cdb
• .cdb
• .cdb
• .ckp
• .clkw
• .cma
• .crd
• .daconnections
• .dacpac
• .dad
• .dadiagrams
• .daf
• .daschema
• .db
• .db-shm
• .db-wa
• .db2
• .db3
• .dbc
• .dbf
• .dbf
• .dbk
• .dbs
• .dbt
• .dbv
• .dbx
• .dcb
• .dct
• .dcx
• .dd
• .df1
• .dmo
• .dnc
• .dp1
• .dqy
• .dsk
• .dsn
• .dta
• .dtsx
• .dx
• .eco
• .ecx
• .edb
• .emd
• .eq
• .fcd
• .fdb
• .fic
• .fid
• .fi
• .fm5
• .fmp
• .fmp12
• .fmps
• .fo
• .fp3
• .fp4
• .fp5
• .fp7
• .fpt
• .fzb
• .fzv
• .gdb
• .gwi
• .hdb
• .his
• .ib
• .idc
• .ihx
• .itdb
• .itw
• .jtx
• .kdb
• .lgc
• .maq
• .mdb
• .mdbhtm
• .mdf
• .mdn
• .mdt
• .mrg
• .mud
• .mwb
• .myd
• .ndf
• .ns2
• .ns3
• .ns4
• .nsf
• .nv2
• .nyf
• .oce
• .odb
• .oqy
• .ora
• .orx
• .owc
• .owg
• .oyx
• .p96
• .p97
• .pan
• .pdb
• .pdm
• .phm
• .pnz
• .pth
• .pwa
• .qpx
• .qry
• .qvd
• .rctd
• .rdb
• .rpd
• .rsd
• .sbf
• .sdb
• .sdf
• .spq
• .sqb
• .sq
• .sqlite
• .sqlite3
• .sqlitedb
• .str
• .tcx
• .tdt
• .te
• .teacher
• .tmd
• .trm
• .udb
• .usr
• .v12
• .vdb
• .vpd
• .wdb
• .wmdb
• .xdb
• .xld
• .xlgc
• .zdb
• .zdc

マルウェアは、以下の名称を利用して暗号化されたファイルのファイル名を改称します。

• {FileName.FileExtension}.490

マルウェアが作成する以下のファイルは、脅迫状です。

• {folders containing encrypted files}\free_files!.html

•