RANSOM_HORSUKE.THEAGAH

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %Application Data%\winlogon.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、以下のファイルを作成します。

• %Application Data%\walm.exe
• {Encrypted Directory}\HOW TO RECOVER ENCRYPTED FILES.TXT
• %User Profile%\zHwPYYWRMf.bmp <-- Wallpaper of Ransomware

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.)

マルウェアは、身代金を要求する手紙として、テキストファイルを作成します。このテキストファイルは以下の内容を含んでいます。

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• zHwPYYWRMf

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
zHwPYYWRMf = %Application Data%\winlogon.exe

マルウェアは、作成されたコンポーネントがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
zHwPYYWRMf = "notepad.exe "%User Profile\%HOW TO RECOVER ENCRYPTED FILES.TXT"

他のシステム変更

マルウェアは、以下のレジストリ値を変更します。

HKCU\Software\zHwPYYWRMf
idle = 1

マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。

ランサムウェアの不正活動

マルウェアは、以下の文字列を含むファイルを暗号化します。

• .3g2
• .3gp
• .3gp2
• .3gpp
• .7z
• .AAC
• .ADT
• .ADTS
• .africa
• .aif
• .aifc
• .aiff
• .apk
• .asf
• .asx
• .au
• .avi
• .bat
• .bin
• .bkf
• .bmp
• .cab
• .chm
• .contact
• .css
• .csv
• .dib
• .dll
• .dmg
• .doc
• .docm
• .docx
• .dot
• .dotm
• .dotx
• .DVR
• .dvr-ms
• .dwfx
• .easmx
• .edk
• .edrwx
• .emf
• .eprtx
• .exe
• .fon
• .gif
• .htm
• .html
• .ico
• .ini
• .jar
• .jfif
• .jpe
• .jpeg
• .jpg
• .jtx
• .key
• .lnk
• .m1v
• .m2t
• .m2ts
• .m2v
• .m3u
• .m4a
• .m4v
• .mht
• .mhtml
• .mid
• .midi
• .mod
• .mov
• .mp2
• .mp2v
• .mp3
• .mp4
• .mp4v
• .mpa
• .mpe
• .mpeg
• .mpg
• .mpv2
• .msc
• .msg
• .msu
• .mts
• .ocx
• .odt
• .otf
• .pl
• .png
• .pot
• .potm
• .potx
• .ppam
• .ppsm
• .ppsx
• .ppt
• .pptm
• .pptx
• .ps1xml
• .RAR
• .reg
• .rle
• .rmi
• .rtf
• .scf
• .search-ms
• .shtml
• .sldm
• .sldx
• .snd
• .sys
• .tif
• .tiff
• .ts
• .ttc
• .ttf
• .tts
• .txt
• .uenc
• .vbs
• .wav
• .wax
• .wdp
• .wm
• .wma
• .wmf
• .wmv
• .wmx
• .wpl
• .WTV
• .wvx
• .wzmul
• .xlam
• .xls
• .xlsb
• .xlsm
• .xlsx
• .xlt
• .xltm
• .xltx
• .xml
• .xps
• .xsl
• .zip

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .horsuke@{BLOCKED}e.africa