RANSOM_GENLOCK.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ユーザインターフェイス（UI）を使用します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %System Root%\Users\Public\Documents\locker.lock

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

マルウェアは、以下のプロセスを追加します。

• cmd.exe /c attrib +s +h "{Full Path of Malware}\{Malware Filename}.exe" /S /D /L → Changes the malware file into a hidden system file
• "C:\Program Files\internet Explorer\iexplore.exe" -nohome → disables home page of Internet Explorer
• "C:\Program Files\internet Explorer\iexplore.exe" SCODEF:3680 CREDAT:71937 → Opens Internet Explorer displaying the malware author's paypal page

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
FileLocker = "{Malware Path}\{Malware Filename}.exe"

他のシステム変更

マルウェアは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = "%User Temp%\Srcgw45_wallpaper.jpg"

(註：変更前の上記レジストリ値は、「"{User Preference}"」となります。)

HKEY_CURRENT_USER\Control Panel\Desktop
TileWallpaper = "0"

(註：変更前の上記レジストリ値は、「"1"」となります。)

HKEY_CURRENT_USER\Control Panel\Desktop
WallpaperStyle = "2"

(註：変更前の上記レジストリ値は、「"0"」となります。)

マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、ファイルをダウンロードします。

• http://i.{BLOCKED}r.com/u2ESrCW.jpg

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\Srcgw45_wallpaper.jpg → set as desktop wallpaper

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

その他

マルウェアは、以下のUIを使用します。

ランサムウェアの不正活動

マルウェアは、以下のディレクトリ内で確認されたファイルを暗号化します。

• %Desktop%
• %System Root%\Users\Public\Desktop
• %User Profile%\Documents
• %System Root%\Users\Public\Documents
• %User Profile%\Pictures
• %System Root%\Users\Public\Pictures
• %User Profile%\Videos
• %System Root%\Users\Public\Videos
• %User Profile%\Music
• %System Root%\Users\Public\Music
• %User Profile%

(註：%Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.. %System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.)