RANSOM_GUSLOCKER.THAOAIAH

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• qweqwrqafsdgsdfg

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
inf = %User Profile%\DECRYPT.html

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
inf = %User Profile%\DECRYPT.html

ランサムウェアの不正活動

マルウェアは、以下の文字列を含むファイルを暗号化します。

• .gdb
• .ldf
• .mdf
• .mdb
• .pdf
• .fdb
• .de
• .txt
• .png
• .jpg
• .jpeg
• .bmp
• .gif
• .zip
• .rar
• .7z
• .1cd
• .sql
• .bak
• .back
• .cab
• .log
• .ico
• .old
• .rtf
• .lnk
• .doc
• .docx
• .xls
• .xlsx
• .tif
• .vsc
• .mkv
• .flac
• .der
• .sch
• .crt
• .pem
• .pblix
• .hbk
• .epx
• .dpl
• .bpl
• .htm
• .csv
• .mp4
• .mp3
• .myi
• .myd
• .xml
• .r11
• .vsl
• .newdb
• .srf
• .pst
• .ods
• .dt
• .cf
• .erf
• .html
• .php
• .asp
• .aspx
• .js
• .ppt
• .pptx
• .java
• .cpp
• .css
• .h
• .c
• .jar
• .swift
• .os
• .shtml
• .less
• .sass
• .dat
• .json
• .key
• .avi
• .3gp
• .wmv
• .py
• .accdb
• .rmvb
• .mpg
• .mov
• .vob
• .flv
• .swf
• .wma
• .aac
• .mmf
• .amr
• .m4a
• .m4r
• .ogg
• .mp2
• .wav
• .tif
• .pcx
• .tga
• .tiff
• .odt
• .dll
• .exe
• .rf
• .glf
• .msi
• .vhdx
• .vhd
• .bin
• .vsv
• .tib
• .vue
• .mrimg

マルウェアは、以下のディレクトリ内で確認されたファイルを暗号化します。

• {All Drives}\
• C:\1a\

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• DECRYPT.html
• {Malware Filename}.exe

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• Windows
• Windows.old
• ProgramFiles
• ProgramFiles (x86)
• All Users
• Intel
• $Recycle.Bin
• Recycle.Bin
• $RECYCLE.BIN
• ProgramData

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .GUSv2

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Directory}\DECRYPT.html