Ransom_LOCKY.TLN

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。 マルウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• {folders containing encrypted files}\_{count of dropped note per folder}_HELP_instructions.html - ransom note

マルウェアは、以下のファイルを作成し実行します。

• %Desktop%\_HELP_instructions.html - ransom note
• %Desktop%\_HELP_instructions.bmp - image used as wallpaper

(註：%Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.)

他のシステム変更

マルウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %Desktop%\_HELP_instructions.bmp

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{Domain}/data/info.php
  where {Domain} can be any of the following:
  • {BLOCKED}.{BLOCKED}.119.71
  • {BLOCKED}.{BLOCKED}.8.101
  • {BLOCKED}.{BLOCKED}.6.109
  
  

マルウェアは、以下のファイル名を使用し、暗号化されたファイルを改称します。

• {unique ID per victim}-{identifier}.zepto

マルウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

マルウェアは、感染されたコンピュータ内のファイルを暗号化する機能を備えています。