RANSOM_GANDCRAB.THDCOAH

マルウェアは、感染コンピュータや感染ユーザから特定の情報を収集します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。 マルウェアは、実行後、自身を削除します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\Microsoft\{Random Characters}.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\pc_group={Machine Workgroup}&ransom_id={16 hex values generated by the malware}

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\RunOnce
{Random Characters} = %Application Data%\Microsoft\{Random Characters}.exe

情報漏えい

マルウェアは、以下の情報を収集します。

• Machine Workgroup
• Anti Virus Software
• System Language
• Public IP Address
• Username
• Machine Name
• Machine Keyboard Layout
• OS Version and Platform
• Drive letters of drives, type, capacity, and free space

情報収集

マルウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://{BLOCKED}r.bit/{"action"=result&e_"files"=%d&e_"size"=%I64u&e_"time"="time executed"}

その他

マルウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• Ipv4bot.whatismyipaddress.com

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}der.bit/
• http://{BLOCKED}ware.bit/

マルウェアは、以下のWebサイトにDNSリクエストを実行します。

• {BLOCKED}.{BLOCKED}servers.ru
• {BLOCKED}.{BLOCKED}.238.18
• {BLOCKED}.{BLOCKED}.214.39
• {BLOCKED}.{BLOCKED}.225.249

マルウェアは、実行後、自身を削除します。

ランサムウェアの不正活動

マルウェアは、以下のディレクトリ内で確認されたファイルを暗号化します。

• It will check the drive type of all drives from A to Z and will only encrypt the ones with the following drive type:
  • Removable Drives
  • Fixed Drives
  • Network Drives
  • Ramdisk Drives

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .CRAB

マルウェアは、以下の内容を含む脅迫状のテキストファイルを残します。

• {Encrypted Directory}\CRAB-DECRYPT.txt
  •