RANSOM_LOCKY.DLDSAQF

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• {folder of encrypted files}\_{number of folders encrypted}_WHAT_is.html -> Ransom Note

マルウェアは、以下のファイルを作成し実行します。

• %Desktop%\_WHAT_is.html -> Ransom Note
• %Desktop%\_WHAT_is.bmp -> Ransom Note, image used as wallpaper

(註：%Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.)

他のシステム変更

マルウェアは、以下のファイルを改変します。

• It encrypts files in fixed, removable, RAM disk drives, and network shares.

マルウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Control Panel\Desktop
WallpaperStyle = "0"

(註：変更前の上記レジストリ値は、「{user preference}」となります。)

HKEY_CURRENT_USER\Control Panel\Desktop
TileWallpaper = "0"

(註：変更前の上記レジストリ値は、「{user preference}」となります。)

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %Desktop%\_WHAT_is.bmp

(註：変更前の上記レジストリ値は、「{user preference}」となります。)

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}.{BLOCKED}.189.35/linuxsucks.php
• http://{BLOCKED}.{BLOCKED}.11.193/linuxsucks.php
• http://{Domain Generated Algorithm}.{org, pl, work, biz, xyz, info, click, su}/linuxsucks.php

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• .3gp
• .7z
• .aac
• .ans
• .ape
• .asc
• .asm
• .asp
• .aspx
• .avi
• .awk
• .bas
• .bat
• .bmp
• .bz2
• .c
• .cls
• .clw
• .cmd
• .cpp
• .cs
• .csproj
• .css
• .ctl
• .cxx
• .def
• .dep
• .dlg
• .dsp
• .dsw
• .eps
• .f
• .f77
• .f90
• .f95
• .fla
• .flac
• .frm
• .gif
• .gz
• .h
• .hpp
• .hta
• .htm
• .html
• .hxx
• .ico
• .idl
• .inc
• .ini
• .inl
• .java
• .jpeg
• .jpg
• .js
• .la
• .m4a
• .mak
• .manifest
• .mov
• .mp3
• .mp4
• .mpe
• .mpeg
• .mpg
• .ofr
• .ogg
• .pac
• .pas
• .pdf
• .php
• .php3
• .php4
• .php5
• .phptml
• .pl
• .pm
• .png
• .ps
• .py
• .pyo
• .ra
• .rb
• .rc
• .reg
• .rka
• .rm
• .rtf
• .sed
• .sh
• .shn
• .shtml
• .sln
• .sql
• .srt
• .swa
• .tcl
• .tex
• .tiff
• .tta
• .txt
• .vb
• .vbs
• .vcproj
• .wav
• .wma
• .wmv
• .wv
• .xml
• .xsd
• .xsl
• .xslt
• .zip

マルウェアは、以下のファイル名を使用し、暗号化されたファイルを改称します。

• {unique ID per victim}-{identifier}.thor