RANSOM_MYSTIC.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• notepad.exe "%Desktop%\ransom.txt"

(註：%Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.)

他のシステム変更

マルウェアは、以下のレジストリ値を変更し、デスクトップの壁紙を変更します。

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = ""

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}ker.tk/track/6.1/1001

マルウェアは、以下のファイルを作成します。

• %AppDataLocal%{File to be Encrypted} -> temporary file used for encryption (deleted afterwards)

(註：%AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。)

ランサムウェアの不正活動

マルウェアは、以下のディレクトリ内で確認されたファイルを暗号化します。

• %User Profile%\Videos
• %User Profile%\Pictures
• %User Profile%\Music
• %User Profile%\Documents
• %Desktop%

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.. %Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.)

マルウェアが作成する以下のファイルは、脅迫状です。

• %Desktop%\ransom.txt

(註：%Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.)

マルウェアは、以下の内容を含む脅迫状のテキストファイルを残します。

• Your computer has been hacked and your files have been locked.
  
  You have 5 days left to recover your files so quickly follow recovery process below.
  
  Recovery Process in 3 easy steps (Automated System. No human intervention. Works 24/365):
  
  1) Buy 1.01 BitCoin Approx 280$. (Easiest buying option is www.localbitcoins.com) and go to the following website:
  
  http://{BLOCKED}ybsm6hk72j.onion.cab/pay/kL5QHL378+zjWv1LuaJobm3jzCzS8ydtKl2zJ78WPQpx+uUpkac9G0TVtjjSiD5mmwg3xde6J+2xdet6ejeCx0W8RpraMD91e0NFe4mWA*HtsIl+lL490hFtxLjmZ1giTgR1RRoQmbEMYVFMd6vu71wyyLhN6WeTLH4VHiZI7dW5zCpTdmkXUr3HYsmN057DjsWS8M38xaI3IL9pSEuamhMTQgMHNB7kIJ95mBIylKFdb6qb9eaq*tUiM*ngLAxcTQKWLpxuBus2A800RVm9uCeqdDIJ9t2gGhEuk8DIVHue1SwpcOTWdBZoguPRtxMpjEeg6UZ+wo8WOBZtW+3ioQ==
  
  2) Send payment of 1.01 Bitcoin to the address in the website given above.
  
  3) In approx 15 minutes after making the payment to the bitcoin address, Go back to the above website. If payment is successful then you will receive unlock instructions.
  
  Don't delete or modify this ransom file till recovery of files as no recovery is possible without this file. This file is on your desktop for future use.
  
  List of files which have been locked are given below.
  -- MYSTIC
  
  {Personal ID}
  
  {List of Encrypted Files...
  ...
  ...}