RANSOM_SPORA.AUSCB

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、異なるファイル名を用いて以下のフォルダ内に自身のコピーを作成します。

• {all removable and fixed drives}\{random values}.exe -> set attributes to Hidden
• %User Temp%\{random values}.exe -> set attributes to Hidden
• %Desktop%\{random values}.exe -> set attributes to Hidden

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.)

マルウェアは、以下のファイルを作成します。

• %User Startup%\{unique id}.HTML - ransom note, to enable automatic execution at system startup
• %Application Data%\{unique id}.HTML - ransom note
• %Application Data%\{unique id}
• {Fixed and Removable Drive Letter}:\{Shortcut files with the filename of every folder in the removable and fixed drive}
  • The malware creates these shortcut files in order to trick the user due to its folder icon and legit filenames.
  • The target path of these shortcuts is set to: %System%\cmd.exe /C start explorer.exe "{folder name - where original files are stored}" & type "{random values}.exe - dropped copy of the malware" > "%temp%\{random values}.exe - dropped copy of the malware" && "%temp%\{random values}.exe - dropped copy of the malware"
• %Application Data%\{10 digit number}

(註：%User Startup%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" 、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、" C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。.. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアが作成する自身のコピーは、隠し属性に設定されます。

• {all removable and fixed drives}\{random values}.exe
• %User Temp%\{random values}.exe
• %Desktop%\{random values}.exe

マルウェアは、これらのショートカットを作成して、フォルダのアイコンや正規ファイル名を利用してクリックするよう誘導します。

これらのショートカットのターゲットパス：%System%\cmd.exe /C start explorer.exe "{folder name - where original files are stored}" & type "{random values}.exe - dropped copy of the malware" > "%temp%\{random values}.exe - dropped copy of the malware" && "%temp%\{random values}.exe - dropped copy of the malware"