RANSOM_REYPTSON.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %Application Data%\Spotify\SpotifyWebHelper\SpotifyWebHelper.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、以下のファイルを作成します。

• %Application Data%\Spotify\SpotifyWebHelper\Spotify.vbs - script to run SpotifyWebHelper.exe
• %Application Data%\Spotify\SpotifyWebHelper\dat - contains user ID
• %Application Data%\{0-19999}.basu - contains 1024 “x”
• %Application Data%\fin - contains “fin”
• %Application Data%\Spotify\SpotifyWebHelper\{Malware Name}.pdf - decoy document

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、以下のフォルダを作成します。

• %Application Data%\Spotify
• %Application Data%\Spotify\SpotifyWebHelper

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• -=Reyptson=-

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Spotify Web Helper v1.0 = %Application Data%\Spotify\SpotifyWebHelper\Spotify.vbs

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• 37z2akkbd3vqphw5.{BLOCKED}n.to

ランサムウェアの不正活動

マルウェアは、以下の文字列を含むファイルを暗号化します。

• .doc
• .dot
• .wbk
• .docx
• .docm
• .dotx
• .dotm
• .docb
• .xls
• .xlt
• .xlm
• .xlsx
• .xlsm
• .xltx
• .xltm
• .xlsb
• .xla
• .xlam
• .xll
• .xlw
• .ppt
• .pot
• .pps
• .pptx
• .pptm
• .potx
• .potm
• .ppam
• .ppsx
• .ppsm
• .sldx
• .sldm
• .accdb
• .db
• .accde
• .accdt
• .accdr
• .pdf
• .ani
• .anim
• .apng
• .art
• .bmp
• .bpg
• .bsave
• .cal
• .cin
• .cpc
• .cpt
• .dds
• .dpx
• .ecw
• .exr
• .fits
• .flic
• .flif
• .fpx
• .gif
• .hdri
• .hevc
• .icer
• .icns
• .ico
• .cur
• .ics
• .ilbm
• .jbig
• .jbig2
• .jng
• .jpeg
• .jpeg
• .2000
• .jpeg-ls
• .jpeg
• .xr
• .kra
• .mng
• .miff
• .nrrd
• .ora
• .pam
• .pbm
• .pgm
• .ppm
• .pnm
• .pcx
• .pgf
• .pictor
• .png
• .psd
• .psb
• .psp
• .qtvr
• .ras
• .rbe
• .jpeg-hdr
• .logluv
• .tiff
• .sgi
• .tga
• .tiff
• .tiff
• .ufo
• .ufp
• .wbmp
• .webp
• .xbm
• .xcf
• .xpm
• .xwd
• .cpp
• .h
• .cs
• .sln
• .idb
• .txt

マルウェアは、以下のディレクトリ内で確認されたファイルを暗号化します。

• {Drive Letter}:\

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• Windows
• Windows.old
• C:\Users\Default
• C:\Users\All Users
• C:\Users\Public
• C:\Program Files
• C:\Recycle Bin
• C:\Program Files (x86)
• C:\ProgramData
• C:\System Volume Information
• %User Profile%\AppData

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.)

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .REYPTSON

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted File Path}\Como_Recuperar_Tus_Ficheros.txt