RANSOM_LOCKED.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• OurMainMutex007

ファイル感染

マルウェアは、以下のドライブ内で対象とするファイルを検索します。

• Z:\
• Y:\
• X:\
• W:\
• V:\
• U:\
• T:\
• S:\
• R:\
• Q:\
• P:\
• O:\
• N:\
• M:\
• L:\
• K:\
• J:\
• I:\
• H:\
• G:\
• F:\
• E:\
• D:\
• C:\

作成活動

マルウェアは、以下のファイルを作成します。

• flist.lst -> list of files to be encrypted
• {Personal ID}.pkey -> personal ID generated by the ransomware
• {Personal ID}.skey -> personal ID generated by the ransomware
• errlog.txt -> error logs of the ransomware

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• .locked_file
• .lst
• .pkey
• .skey
• .lnk
• .exe
• .tmp
• .ico
• .000
• .sys
• .dat
• .inf
• .dll
• .dat
• .reg
• .drv
• .dev
• .pif
• .mbr
• .ini
• .xml
• .list
• .ttf
• .log
• .ja
• .bat
• .cmd
• .vbs
• .js
• .cfg
• .download
• .nfo
• .msi
• .chk
• .dmp
• .mui
• .dun
• .isp
• .isw
• .cab
• .efi
• .hlp
• .msu
• .hlp
• .bin
• .lng
• .torrent_info
• .torrent
• .htm
• .html
• .chm
• .lang
• .style
• .gif
• .java
• .cur
• .ani

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• \WINDOWS
• \PROGRAM FILES
• \GAMES
• \APPDATA
• \APPLICATION DATA
• \PROGRAMDATA
• \LOCAL SETTINGS
• \TEMP
• \TMP
• \BOOT
• \MSOCACHE
• \DEFAULT USER
• \SAMPLE
• \EXAMPLE
• \I386
• \TEMPORARY
• \TOR BROWSER
• \BROWSER
• BROWSER\

マルウェアは、以下の名称を利用して暗号化されたファイルのファイル名を改称します。

• {Random Characters}.[{BLOCKED}eassistant2@{BLOCKED}a.com].locked_file -> random characters generated by the ransomware

マルウェアが作成する以下のファイルは、脅迫状です。

• !HOW_TO_UNLOCK_FILES!.html