RANSOM_SNAKELOCK.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のコンポーネントファイルを作成します。

• %User Temp%\_MEI{random numbers}\Crypto.Cipher._AES.pyd
• %User Temp%\_MEI{random numbers}\Microsoft.VC90.CRT.manifest
• %User Temp%\_MEI{random numbers}\SnakeLocker.exe.manifest
• %User Temp%\_MEI{random numbers}\_ctypes.pyd
• %User Temp%\_MEI{random numbers}\_hashlib.pyd
• %User Temp%\_MEI{random numbers}\_multiprocessing.pyd
• %User Temp%\_MEI{random numbers}\_socket.pyd
• %User Temp%\_MEI{random numbers}\_ssl.pyd
• %User Temp%\_MEI{random numbers}\bz2.pyd
• %User Temp%\_MEI{random numbers}\msvcm90.dll
• %User Temp%\_MEI{random numbers}\msvcp90.dll
• %User Temp%\_MEI{random numbers}\msvcr90.dll
• %User Temp%\_MEI{random numbers}\pyexpat.pyd
• %User Temp%\_MEI{random numbers}\python27.dll
• %User Temp%\_MEI{random numbers}\pywintypes27.dll
• %User Temp%\_MEI{random numbers}\select.pyd
• %User Temp%\_MEI{random numbers}\unicodedata.pyd
• %User Temp%\_MEI{random numbers}\win32api.pyd
• %User Temp%\_MEI{random numbers}\win32console.pyd
• %User Temp%\_MEI{random numbers}\win32event.pyd
• %User Temp%\_MEI{random numbers}\win32gui.pyd
• %User Temp%\_MEI{random numbers}\Include\pyconfig.h

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
FileExts\DDECache\IExplore\
WWW_OpenURLNewWindow
ProcessName = iexplore.exe

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
FileExts\DDECache\IExplore\
WWW_OpenURLNewWindow
WindowClassName = DDEMLMom

ランサムウェアの不正活動

マルウェアは、以下の文字列を含むファイルを暗号化します。

• .asp
• .bak
• .bat
• .bmp
• .cmd
• .cpp
• .dbf
• .doc
• .docx
• .dot
• .gif
• .hta
• .htm
• .html
• .jpeg
• .jpg
• .js
• .key
• .mdb
• .mdf
• .ods
• .odt
• .pdf
• .php
• .png
• .pot
• .ppt
• .pptx
• .rar
• .rtf
• .txt
• .wmdb
• .vbs
• .xbap
• .xls
• .xlsx
• .xlt
• .xlw
• .xml
• .xps
• .zip

マルウェアは、以下のディレクトリ内で確認されたファイルを暗号化します。

• %AppDataLocal%\
• %Application Data%\
• %Desktop%\
• %User Profile%\Documents\

(註：%AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.. %Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.)

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .snake

マルウェアが作成する以下のファイルは、脅迫状です。

• %Desktop%\INSTRUCTIONS-README.html