RANSOM_LECTOOL.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。 マルウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• {Folder containing encrypted files}\_secret_code.txt - contains unique code per victim
• {Folder containing encrypted files}\_How to decrypt LeChiffre files.html - contains the ransom note

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Recycle Bin%\sunset.jpg

  (Note: %Recycle Bin% is usually C:\Recycler on Windows XP and below, or C:\$Recycle.Bin on Windows Vista and above)

他のシステム変更

マルウェアは、以下のファイルを改変します。

• appends the extension .LeChiffre to the encrypted files
• replaces the file %System%\sethc.exe with %System%\cmd.exe

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}.{BLOCKED}.251.146/sipvoice.php?insert=servername={computer name}&username={user name}&started={execution date}&secretcode={value}&email={creator's email}&session={session ID}&patched=
• http://{BLOCKED}.{BLOCKED}.251.146/sipvoice.php?updqua=&quantity={count of encrypted files}&session={session ID}
• http://{BLOCKED}.{BLOCKED}.251.146/sipvoice.php?update={value}&finished={value}&session={session ID}
• http://{BLOCKED}.{BLOCKED}.251.146/sipvoice.php?changecomment={value}&comment={value}&session={session ID}
• http://{BLOCKED}.{BLOCKED}.251.146/sipvoice.php?shutdown=&reason={value}&session={session ID}

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• *.*crypt
• *.?db
• *.001
• *.1
• *.1cd
• *.2
• *.7z
• *.900
• *.accdb
• *.ai
• *.bak
• *.back
• *.bk?
• *.bk
• *.bmp
• *.cbf
• *.cdr
• *.cdx
• *.cer
• *.crt
• *.cf
• *.cfg
• *.cr2
• *.csv
• *.dat
• *.db?
• *.dd
• *.dmp
• *.doc
• *.docx
• *.dt
• *.efd
• *.epf
• *.eps
• *.erf
• *.ert
• *.evt
• *.ffdata
• *.fxp
• *.gbk
• *.glf
• *.gzip
• *.i01
• *.iar
• *.img
• *.iso
• *.jpeg
• *.jpg
• *.key
• *.lck
• *.ldf
• *.lgf
• *.lic
• *.license
• *.mb
• *.md?
• *.mokesi
• *.mxfd
• *.mxl
• *.odt
• *.pbd
• *.pdf
• *.pf
• *.pfx
• *.png
• *.ppt
• *.psd
• *.pst
• *.rar
• *.rpt
• *.rtf
• *.sql*
• *.sdm
• *.tar
• *.tib
• *.tif
• *.tiff
• *.xlk
• *.xls
• *.xml
• *.xlsx
• *.zip
• *.zur
• *backup*

マルウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。