RANSOM_SIGRUN.THEBAAH

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、実行後、自身を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %All Users Profile%\{Random Characters}.lock
• {Encrypted Directory}\RESTORE-SIGRUN.html
• {Encrypted Directory}\RESTORE-SIGRUN.txt

(註：%All Users Profile%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\All Users”、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\ProgramData” です。.)

マルウェアは、以下のプロセスを追加します。

• iexplore.exe /C iexplore.exe SCODEF:3124 CREDAT:14337 <- Used to pop up the ransom page of the malware
• %Program Files%\Internet Explorer\iexplore.exe -nohome <- Used to Disable the homepage of Internet Explorer

(註：%Program Files%フォルダは、プログラムファイルのフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Program Files"、64bitのOS上で32bitのアプリケーションを実行している場合、 "C:\Program Files (x86)" です。.)

マルウェアは、身代金を要求する手紙として、テキストファイルを作成します。このテキストファイルは以下の内容を含んでいます。

他のシステム変更

マルウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Valkyrie\
data
public = {Hex Values}

HKEY_CURRENT_USER\Software\Valkyrie\
data
KeyData = {Hex Values}

その他

マルウェアは、実行後、自身を削除します。

ランサムウェアの不正活動

マルウェアは、以下の文字列を含むファイルを暗号化します。

• .DIC
• .acl
• .acrodata
• .avi
• .bak
• .blog
• .bmp
• .btapp
• .cfg
• .conf
• .contact
• .crl
• .css
• .dat
• .data
• .db
• .doc
• .docx
• .dot
• .dotm
• .dotx
• .etl
• .flv
• .gif
• .glox
• .html
• .info
• .ini
• .jpg
• .js
• .json
• .jsonlz4
• .m4a
• .metadata
• .metadata-v
• .mkv
• .mp3
• .mp4
• .mpt
• .ods
• .ods
• .odt
• .one
• .ots
• .pdf
• .png
• .ppt
• .pptx
• .pst
• .rdf
• .rtf
• .sdi
• .searchconnector-ms
• .sqlite
• .srs
• .swf
• .thmx
• .timestamp
• .url
• .wim
• .wmv
• .wtv
• .xml

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• Bootfont.bin
• NTDETECT.COM
• RESTORE-SIGRUN.txt
• autorun.inf
• boot.ini
• bootsect.bak
• desktop.ini
• iconcache .db
• ntldr
• ntuser.dat
• ntuser.dat.log
• thumbs.db

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• %All Users Profile%
• %Program Files%
• %ProgramData%
• %Windows%
• Boot
• IETldCache
• Local Settings
• Tor Browser

(註：%All Users Profile%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\All Users”、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\ProgramData” です。.. %Program Files%フォルダは、プログラムファイルのフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Program Files"、64bitのOS上で32bitのアプリケーションを実行している場合、 "C:\Program Files (x86)" です。.. %ProgramData%フォルダは、Windows Vista および 7 の場合、通常、"C:\ProgramData"、Windows 2000、XP (32ビット)、Server 2003 の場合、"C:\Program Files"、Windows XP (64ビット) の場合、"C:\Program Files (x86)" です。. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .sigrun