RANSOM_HIDDENTEARCERBER.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %Application Data\{original file name and file extension}

マルウェアは、以下のファイルを作成します。

• %Desktop%\HOW_TO_RESTORE_YOUR_DATA.html {ransom note}
• %Application Data%\HOW_TO_RESTORE_YOUR_DATA.html {ransom note}
• {folders where it is able to encrypt files}\HOW_TO_RESTORE_YOUR_DATA.html {ransom note}

(註：%Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Traxxio = "%Application Data\{original file name and file extension}"

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main\FeatureControl\
FEATURE_LOCALMACHINE_LOCKDOWN
iexplore.exe = "0"

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• CryptoMonitor

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}t.pw/ransom/landing/gate.php?hwid=

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• .jpg
• .JPEG
• .JPG
• .jpeg
• .raw
• .tif
• .gif
• .png
• .bmp
• .3dm
• .max
• .accdb
• .db
• .dbf
• .mdb
• .pdb
• .sql
• .sav
• .spv
• .grle
• .mlx
• .sv5
• .game
• .slot
• .dwg
• .dxf
• .c
• .cpp
• .cs
• .h
• .php
• .asp
• .rb
• .java
• .jar
• .class
• .aaf
• .aep
• .aepx
• .plb
• .prel
• .prproj
• .aet
• .ppj
• .psd
• .indd
• .indl
• .indt
• .indb
• .inx
• .idml
• .pmd
• .xqx
• .xqx
• .ai
• .eps
• .ps
• .svg
• .swf
• .fla
• .as3
• .as
• .txt
• .doc
• .dot
• .docx
• .docm
• .dotx
• .dotm
• .docb
• .rtf
• .wpd
• .wps
• .msg
• .pdf
• .xls
• .xlt
• .xlm
• .xlsx
• .xlsm
• .xltx
• .xltm
• .xlsb
• .xla
• .xlam
• .xll
• .xlw
• .ppt
• .pot
• .pps
• .pptx
• .pptm
• .potx
• .potm
• .ppam
• .ppsx
• .ppsm
• .sldx
• .sldm
• .wav
• .mp3
• .aif
• .iff
• .m3u
• .m4u
• .mid
• .mpa
• .wma
• .ra
• .avi
• .mov
• .mp4
• .3gp
• .mpeg
• .3g2
• .asf
• .asx
• .flv
• .mpg
• .wmv
• .vob
• .m3u8
• .csv
• .efx
• .sdf
• .vcf
• .xml
• .ses
• .dat
• .RAW
• .TIF
• .GIF
• .PNG
• .BMP
• .3DM
• .MAX
• .ACCDB
• .DB
• .DBF
• .MDB
• .PDB
• .SQL
• .SAV
• .SPV
• .GRLE
• .MLX
• .SV5
• .GAME
• .SLOT
• .DWG
• .DXF
• .C
• .CPP
• .CS
• .H
• .PHP
• .ASP
• .RB
• .JAVA
• .JAR
• .CLASS
• .AAF
• .AEP
• .AEPX
• .PLB
• .PREL
• .PRPROJ
• .AET
• .PPJ
• .PSD
• .INDD
• .INDL
• .INDT
• .INDB
• .INX
• .IDML
• .PMD
• .XQX
• .XQX
• .AI
• .EPS
• .PS
• .SVG
• .SWF
• .FLA
• .AS3
• .AS
• .TXT
• .DOC
• .DOT
• .DOCX
• .DOCM
• .DOTX
• .DOTM
• .DOCB
• .RTF
• .WPD
• .WPS
• .MSG
• .PDF
• .XLS
• .XLT
• .XLM
• .XLSX
• .XLSM
• .XLTX
• .XLTM
• .XLSB
• .XLA
• .XLAM
• .XLL
• .XLW
• .PPT
• .POT
• .PPS
• .PPTX
• .PPTM
• .POTX
• .POTM
• .PPAM
• .PPSX
• .PPSM
• .SLDX
• .SLDM
• .WAV
• .MP3
• .AIF
• .IFF
• .M3U
• .M4U
• .MID
• .MPA
• .WMA
• .RA
• .AVI
• .MOV
• .MP4
• .3GP
• .MPEG
• .3G2
• .ASF
• .ASX
• .FLV
• .MPG
• .WMV
• .VOB
• .M3U8
• .CSV
• .EFX
• .SDF
• .VCF
• .XML
• .SES

マルウェアは、以下のファイル名を使用し、暗号化されたファイルを改称します。

• {original file name and file extension}.cerber