RANSOM_JUSINOMEL.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。 マルウェアは、実行後、自身を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• {malware path}\PLJQKRKMWEZJEHEVT.txt - Serves as ransom note
• {folders containing encrypted files}\README NOW !!!.txt - Serves as ransom note

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• WrXehWMqEUv9ObHQ

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
WrXehWMqEUv9ObHQ = "{malware path}\{malware filename}.exe"

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\WrXehWMqEUv9ObHQ

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\WrXehWMqEUv9ObHQ
WrXehWMqEUv9ObHQu = "Ee-{random characters)"

HKEY_LOCAL_MACHINE\SOFTWARE\WrXehWMqEUv9ObHQ
WrXehWMqEUv9ObHQp = "{random characters}"

HKEY_LOCAL_MACHINE\SOFTWARE\WrXehWMqEUv9ObHQ
WrXehWMqEUv9ObHQs = "1"

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\VSS\Diag\
SPP
SppEnumGroups (Enter) = {hex values}

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\VSS\Diag\
SPP
SppEnumGroups (Leave) = {hex values}

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\VSS\Diag\
SPP
SppGetSnapshots (Enter) = {hex values}

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\VSS\Diag\
SP
SppGetSnapshots (Leave) = {hex values}

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}veforyou.com/456/index.php

マルウェアは、以下のファイル名を使用し、暗号化されたファイルを改称します。

• {filename of encrypted file}.{extension of encrypted file}.id-{unique ID per victim}_sos@juicylemon.biz

マルウェアは、実行後、自身を削除します。

マルウェアが作成する以下のファイルは、脅迫状として利用されます。

• {malware path}\PLJQKRKMWEZJEHEVT.txt
• {folders containing encrypted files}\README NOW !!!.txt

マルウェアは感染コンピュータ内のファイルを暗号化します。

マルウェアは、以下の文字列で始まる名称のフォルダやサブフォルダ内のファイルは暗号化しません。

• windows
• program

マルウェアは、以下のファイルの暗号化は実行しません。

• boot.ini
• NTDETECT.COM
• Bootfont.bin
• ntldr
• bootmgr
• BOOTNXT
• BOOTSECT.BAK
• NTUSER.DAT
• PDOXUSRS.NET

マルウェアは、以下の拡張子を持つファイルの暗号化はしません。

• .acm
• .ade
• .adp
• .app
• .asa
• .asp
• .aspx
• .ax
• .bas
• .bat
• .bin
• .biz
• .bootmgr
• .chm
• .clb
• .cmd
• .cnt
• .cnv
• .com
• .cpl
• .cpx
• .crt
• .csh
• .dll
• .drv
• .dtd
• .exe
• .fxp
• .grp
• .h1s
• .hlp
• .hta
• .ini
• .ime
• .inf
• .ins
• .isp
• .its
• .js
• .jse
• .ksh
• .lnk
• .mad
• .maf
• .mag
• .mam
• .man
• .maq
• .mar
• .mas
• .mat
• .mau
• .mav
• .maw
• .mda
• .mdb
• .mde
• .mdt
• .mdw
• .mdz
• .msc
• .msi
• .msp
• .mst
• .mui
• .nls
• .ntldr
• .ocx
• .ops
• .pal
• .pcd
• .pif
• .prf
• .prg
• .pst
• .reg
• .scf
• .scr
• .sca
• .sys

マルウェアは、仮想環境下で実行されていることを確認した場合、自身の活動を終了します。

マルウェアは、シャドウコピーを削除します。

マルウェアは、以下の脅迫状を表示します。