RANSOM_MAKTUB

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

この新しい身代金要求型不正プログラム（ランサムウェア）は、脅迫状に独自のグラフィックデザインを利用することで知られています。他のランサムウェアと同様、Eメールを介して侵入し、ファイルを暗号化します。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\{random filename}.cab - archive containing the RTF document
• %User Temp%\{malware filename}.rtf - non-malicious document
• {folders containing encrypted files}\_DECRYPT_INFO_{extension name}.html - ransom note
• %User Temp%\{extension name}.gif - Maktub Locker logo

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

他のシステム変更

マルウェアは、以下のファイルを改変します。

• It encrypts files and appends a random extension to the encrypted files

その他

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• apk
• arch00
• arw
• asset
• avi
• bar
• bay
• bc6
• bc7
• big
• bik
• bkf
• bkp
• blf
• blob
• bsa
• bup
• cab
• cas
• cat
• cdf-ms
• cdr
• cer
• cfr
• chm
• com
• cpl
• cr2
• crt
• crw
• css
• csv
• cur
• d3dbsp
• das
• dat
• dayzprofile
• dazip
• db0
• dba
• dbf
• dbfv
• dcr
• der
• desc
• dll
• dmp
• dng
• doc
• docm
• docx
• dot
• dotx
• drv
• dwg
• dxf
• dxg
• epk
• eps
• erf
• esm
• exe
• exif
• ff
• flv
• fon
• forge
• fos
• fpk
• fsh
• gdb
• gho
• gif
• gpd
• hkdb
• hkx
• hlp
• hplg
• htm
• html
• hvpl
• ibank
• ico
• icxs
• idl
• ifo
• indd
• inf
• inf_loc
• ini
• itdb
• itl
• itm
• iwd
• iwi
• jfif
• jpe
• jpeg
• jpg
• js
• kdb
• kdc
• kf
• layout
• lbf
• lck
• lib
• litemod
• lnk
• log
• log1
• log2
• lrf
• ltx
• lvl
• m2
• m3u
• m4a
• man
• manifest
• map
• mcgame
• mcmeta
• mdb
• mdbackup
• mddata
• mdf
• mef
• menu
• mht
• mlwivc
• mlx
• mof
• mov
• mp4
• mpg
• mpp
• mpqge
• mrw
• mrwref
• msg
• msi
• msp
• mui
• mum
• ncf
• nef
• nlp
• nls
• nrw
• ntl
• ocx
• odb
• odc
• odm
• odp
• ods
• odt
• orf
• p12
• p7b
• p7c
• pak
• pdb
• pdd
• pdf
• pef
• pem
• pfx
• pgp
• pkpass
• pnf
• png
• ppd
• ppsx
• ppt
• pptm
• pptx
• psd
• psk
• pst
• ptx
• py
• qdf
• qic
• r3d
• raf
• raw
• rb
• rdp
• re4
• regtrans-ms
• resx
• rgss3a
• rim
• rofl
• rtf
• rw2
• rwl
• sav
• sb
• sc2save
• scr
• shs
• sid
• sidd
• sidn
• sie
• sis
• slm
• snx
• so
• sql
• sr2
• srf
• srw
• sum
• svg
• swf
• syncdb
• sys
• t12
• t13
• tax
• tc
• thm
• thmx
• tif
• tor
• ttf
• txt
• unity3d
• upk
• vcf
• vdf
• vfs0
• vob
• vpk
• vpp_pc
• vsd
• vtf
• w3x
• wallet
• wav
• wb2
• wma
• wmf
• wmo
• wmv
• wotreplay
• wpd
• wps
• x3f
• xdr
• xf
• xlk
• xls
• xlsb
• xlsm
• xlsx
• xml
• xrm-ms
• xsd
• xxx
• ztmp

<補足>
インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\{ランダムなファイル名}.cab - RTF 文書を含んだアーカイブ
• %User Temp%\{マルウェアのファイル名}.rtf - 無害な文書ファイル
• {暗号化されたファイルを含むフォルダ}\_DECRYPT_INFO_{拡張子名}.html - 脅迫状
• %User Temp%\{拡張子名}.gif - 「Maktub Locker」のロゴ

マルウェアは、ファイルを暗号化し、ランダムな拡張子を暗号化したファイルに追加します。

注意：

マルウェアは、ファイルを暗号化した後、以下のウィンドウを表示します。