RANSOM_KILLDISK.B

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染コンピュータ上のメモリに以下のプロセスを確認すると、自身を終了します。

• avp.exe
• avpui.exe
• ekrn.exe
• egui.exe
• mfemmc.exe
• mfefire.exe
• mfevtps.exe
• pefservice.exe
• mcsvhost.exe
• msascui.exe
• msmpeng.exe
• mpcmdrun.exe

自動実行方法

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\updcent
DisplayName = System update center

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\updcent
ErrorControl = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\updcent
ImagePath = "{malware path and filename} -opt=svc"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\updcent
ObjectName = "LocalSystem"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\updcent
Start= = "2"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\updcent
Type = "10"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\updcent\Enum
0 = "Root\LEGACY_UPDCENT\0000"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\updcent\Enum
Count = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\updcent\Enum
NextInstance = "1"

マルウェアは、以下のサービスを追加し、実行します。

• updcent (System update center)

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\updcent

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
UpdateCenter

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
UpdateCenter
LastUpdate = {value}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
UpdateCenter
FirstUpdate = {value}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
UpdateCenter
NextUpdate = {value}

その他

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• .3ds
• .7z
• .accdb
• .accdc
• .ai
• .asp
• .aspx
• .avhd
• .back
• .bak
• .bin
• .bkf
• .cer
• .cfg
• .conf
• .crl
• .crt
• .csr
• .csv
• .dat
• .db3
• .db4
• .dbc
• .dbf
• .dbx
• .djvu
• .doc
• .docx
• .dr
• .dwg
• .dxf
• .edb
• .eml
• .fdb
• .gdb
• .git
• .gz
• .hdd
• .ib
• .ibz
• .io
• .jar
• .jpeg
• .jpg
• .jrs
• .js
• .kdbx
• .key
• .mail
• .max
• .mdb
• .mdbx
• .mdf
• .mkv
• .mlk
• .mp3
• .msi
• .my
• .myd
• .nsn
• .oda
• .ost
• .ovf
• .p7b
• .p7c
• .p7r
• .pd
• .pdf
• .pem
• .pfx
• .php
• .pio
• .piz
• .png
• .ppt
• .pptx
• .ps
• .ps1
• .pst
• .pvi
• .pvk
• .py
• .pyc
• .rar
• .rb
• .rtf
• .sdb
• .sdf
• .sh
• .sl3
• .spc
• .sql
• .sqlite
• .sqlite3
• .tar
• .tiff
• .vbk
• .vbm
• .vbox
• .vcb
• .vdi
• .vfd
• .vhd
• .vhdx
• .vmc
• .vmdk
• .vmem
• .vmfx
• .vmsd
• .vmx
• .vmxf
• .vsd
• .vsdx
• .vsv
• .wav
• .wdb
• .xls
• .xlsx
• .xvd
• .zip