RANSOM_SHIMA.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Windows%\systemboot54146454.exe

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %User Startup%\systemboot54146454.exe

(註：%User Startup%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" 、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、" C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。.)

マルウェアは、以下のファイルを作成します。

• %User Temp%\shima.themepack

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

マルウェアは、以下のファイルを作成し実行します。

• %User Temp%\1.vbs

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

自動実行方法

マルウェアは、Windows起動時に自動実行されるよう＜スタートアップ＞フォルダ内に以下のファイルを作成します。

• systemboot54146454.exe

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• .asa
• .asp
• .aspx
• .cs
• .css
• .htm
• .html
• .js
• .json
• .jsp
• .jst
• .php
• .php3
• .php4
• .php5
• .php6
• .php7
• .rss
• .txt
• .vbs
• .xml

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• $RECYCLE.BIN
• System Volume Information

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .sh99

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Directory}\Encryption Message.txt

マルウェアは、以下の内容を含む脅迫状のテキストファイルを残します。

• Hi babyAre you ok??Are you good??No , why??For Encryption virus?orYour Theme?or ....I Do not know any thing butI know if you want open your file and Decrypt your fileyou can call me with an E-mail that is:shimabahrami99@gmail.comand I can help you just with money.If you have money send me an empty mail that its title will be "Encrypt Help".and I give you my card number and the amount of money .So after that you pay money and send me your Receipt and i check itIf it is true and real ,I give you a program that open your file ,and If it is not real ,I never give you that program.*****The first important point :If you call with a police ,I never give you program and I delete all your fileok??*****The second important point:If you do not trust me ,you can send me a filethat encrypt with my program,and mail title will be "Encrypt trust" I give you the Decrypt photo and correct fileButjust for once.asd shima99 :)