RANSOM_HPCRYPTESLA.SM2

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、異なるファイル名を用いて以下のフォルダ内に自身のコピーを作成します。

• %User Profile%\Documents\{random filename}.exe

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{value} = "%system\CMD.EXE /C START "" "%User Profile%\Documents\{random filename}.exe""

where {value} can have the following format:

• +++{random letters}

• _{random letters}

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USERSoftware\{ID key}

where {ID key} can be the following:

• MSVCC

• trueimg

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\{ID key}
{ID value} = "{ID}"

where {ID key} can be the following:

• MSVCC

• trueimg

and {ID value} can be the following:

• FIX

• ID

HKEY_CURRENT_USER\Software\{ID}
data = "{hex values}"

作成活動

マルウェアは、以下のファイルを作成します。

• {Recover String}{random letters}+.png
• {Recover String}{random letters}+.txt
• {Recover String}{random letters}+.html
• %Desktop%\{Recover String}{random letters}+.png
• %Desktop%\{Recover String}{random letters}+.txt
• %Desktop%\{Recover String}{random letters}+.html
• %User Profile%\Documents\{Recover String in lower case}file.txt

  where {Recover String} can be the following:

  • +REcovER+
    
  • RECOVER
    
  • recover_
    

(註：%Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}minproduktion.de/plugins/binstr.php
• http://{BLOCKED}ntandre.fr/images/binstr.php
• http://{BLOCKED}p.pl/tmp/binstr.php
• http://{BLOCKED}gicdisaster.info/wordpress/wp-content/plugins/binstr.php
• http://{BLOCKED}e.com/images/binstr.php
• http://{BLOCKED}eproductes.com/binstr.php
• http://{BLOCKED}15.com/strbin.php
• http://{BLOCKED}garden.com/strbin.php
• http://{BLOCKED}k.com/binstr.php
• http://{BLOCKED}ument.co.uk/strbin.php
• http://{BLOCKED}athart.com/binstr.php
• http://{BLOCKED}yerdesign.com/wp-content/plugins/binstr.php

マルウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。