RANSOM_HIDDENTEARWUPDIS.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Windows%\WinUpdatesDisabler.exe

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、以下のファイルを作成します。

• C:\Key.txt

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
WinUpdatesDisabler = "%Windows%\WinUpdatesDisabler.exe"

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Speech\AppLexicons

HKEY_CURRENT_USER\Software\Microsoft\
Speech\PhoneConverters

HKEY_CURRENT_USER\Software\Microsoft\
Speech\CurrentUserLexicon

ランサムウェアの不正活動

マルウェアは、以下の文字列を含むファイルを暗号化します。

• .7z
• .asp
• .aspx
• .avi
• .bmp
• .csv
• .doc
• .docx
• .gif
• .htm
• .html
• .jcf
• .jgf
• .jkm
• .jpg
• .jsb
• .jsd
• .jsh
• .jsm
• .jss
• .mdb
• .mp3
• .odt
• .php
• .png
• .ppt
• .pptx
• .psd
• .rar
• .sln
• .sql
• .txt
• .wav
• .wmv
• .xls
• .xlsx
• .xml
• .zip

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• {filename}.zbt

マルウェアが作成する以下のファイルは、脅迫状です。

• Payment information for decryption.txt

マルウェアは、以下の内容を含む脅迫状のテキストファイルを残します。

• Ej sestrice, moraš da gi platiš.
  Ako gi ne platiš,
  zakljucani fajlovi,
  nema da gi vratiš