RANSOM_ROKKU.B

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• {root drive}\README_HOW_TO_UNLOCK.TXT
• {root drive}\README_HOW_TO_UNLOCK.HTML
• {folders containing encrypted files}\README_HOW_TO_UNLOCK.TXT
• {folders containing encrypted files}\README_HOW_TO_UNLOCK.HTML

マルウェアは、身代金を要求する手紙として、テキストファイルを作成します。このテキストファイルは以下の内容を含んでいます。

• YOUR FILE HAS BEEN LOCKED
  In order to unlock your files, follow the instructions bellow:
   1. Download and install Tor Browser
   2. After a successful installation, run Tor Browser and wait for its initialization.
   3. Type in the address bar: http://zvnvp2rhe3ljwf2m.onion
   4. Follow the instructions on the site.

他のシステム変更

マルウェアは、以下のファイルを改変します。

• change the encrypted file's extension to ".rokku"

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\System\CurrentControlSet\
services\VSS
Start = "4"

(註：変更前の上記レジストリ値は、「"3"」となります。)

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows NT\CurrentVersion\SystemRestore
DisableSR = "1"

(註：変更前の上記レジストリ値は、「"0"」となります。)

ファイル感染

マルウェアは、以下の文字列を含むフォルダには感染しません。

• recycle bin
• system volume information

プロセスの終了

マルウェアは、感染コンピュータ上で確認した以下のサービスを終了します。

• vss
• swprv
• srservice

その他

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• 001
• 1dc
• 3ds
• anim
• apk
• arch00
• ari
• art
• arw
• asc
• ase
• asef
• asp
• aspx
• asset
• avi
• bak
• bar
• bay
• bc6
• bc7
• bgeo
• big
• bik
• bkf
• bkp
• blob
• bmp
• bsa
• c4d
• cap
• cas
• catpart
• catproduct
• cdr
• cef
• cer
• cfr
• cgm
• cha
• chr
• cld
• clx
• cpp
• cr2
• crt
• crw
• cs
• css
• csv
• cxx
• d3dbsp
• das
• dat
• dat
• dayzprofile
• dazip
• db
• dbf
• dbfv
• dcr
• dcs
• der
• desc
• dib
• dlc
• dle
• dlv
• dlv3
• dlv4
• dmp
• dng
• doc
• docm
• docx
• drf
• dvi
• dvr
• dwf
• dwg
• dxf
• dxg
• eip
• emf
• emz
• epf
• epk
• eps
• eps2
• eps3
• epsf
• epsp
• erf
• esm
• fbx
• ff
• fff
• fh10
• fh11
• fh7
• fh8
• fh9
• fig
• fsh
• ft8
• fxg
• gdb
• ge2
• gho
• gz
• hip
• hipnc
• hkdb
• hkx
• hplg
• hpp
• hvpl
• hxx
• iam
• ibank
• icb
• icxs
• idea
• iff
• iiq
• indd
• ipt
• iros
• irs
• rw2
• rwl
• rwz
• sav
• sbx
• sc2save
• sdf
• shp
• sid
• sidn
• sie
• sis
• skl
• skp
• sldasm
• sldprt
• slm
• slx
• slxp
• snx
• soft
• sqlite
• sqlite3
• sr2
• srf
• srw
• step
• stl
• stp
• sum
• svg
• svgz
• swatch
• syncdb
• t12
• t13
• tar
• tax
• tex
• tga
• tif
• tiff
• tor
• txt
• unity3d
• uof
• uos
• upk
• vda
• vdf
• vfl
• vfs0
• vpk
• vpp_pc
• vst
• vtf
• w3x
• wallet
• wav
• wb2
• wdx
• wma
• wmo
• wmv
• wotreplay
• wpd
• wps
• x3f
• xf
• xl
• xlk
• xlsb
• xlsm
• xlsx
• xvc
• xvz
• xxx
• ycbcra
• yuv
• zdct
• zip
• ztmp
• flt
• flv
• fmod
• forge
• fos
• fpk
• itdb
• itl
• itm
• iwd
• iwi
• j2k
• java
• jpe
• jpeg
• jpf
• jpg
• jpx
• k25
• kdb
• kdc
• kf
• kys
• lbf
• lex
• litemod
• lrf
• ltx
• lvl
• m2
• m2t
• m2ts
• m3u
• m4a
• m4v
• ma
• map
• mat
• max
• mb
• mcfi
• mcfp
• mcgame
• mcmeta
• mdb
• mdbackup
• mdc
• mddata
• mdf
• mdl
• mdlp
• mef
• mel
• menu
• mkv
• mll
• mlx
• mn
• mos
• mp
• mp4
• mrw
• mrwref
• mts
• mu
• mxf
• nb
• ncf
• nef
• nrw
• ntl
• obm
• ocdc
• odb
• odc
• odm
• odp
• ods
• odt
• omeg
• orf
• ott
• p12
• p7b
• p7c
• pak
• pct
• pcx
• pdd
• pdf
• pef
• pem
• pfx
• php
• php4
• php5
• pic
• picnc
• pkpass
• png
• ppd
• ppt
• pptm
• pptx
• prj
• prt
• prtl
• ps
• psb
• psd
• psf
• psid
• psq
• pst
• ptl
• ptx
• pwl
• pxn
• pxr
• py
• qdf
• qic
• r3d
• raa
• raf
• rar
• raw
• rb
• re4
• rgss3a
• rim
• rofl
• rtf
• rtg
• rvt