Ransom_SPORA.AUSCC

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、異なるファイル名を用いて以下のフォルダ内に自身のコピーを作成します。

• {all removable and fixed drives}\{random values}.exe - set attributes to Hidden

マルウェアは、以下のファイルを作成します。

• %Desktop%\{unique id}.HTML - ransom note
• %Application Data%\{unique id}.HTML - ransom note
• %Application Data%\{unique id}
• {Fixed and Removable Drive Letter}:\{Shortcut files with the filename of every folder in the removable and fixed drive}
  • The malware creates these shortcut files in order to trick the user due to its folder icon and legit filenames.
  • The target path of these shortcuts is set to: %System%\cmd.exe /C explorer.exe "{folder name - where original files are stored}" & type "{random values}.exe - dropped copy of the malware" - "%tmp%\{random values}.exe - dropped copy of the malware" & start "{folder name - where original files are stored}" "%tmp%\{random values}.exe - dropped copy of the malware"
• %Application Data%\{10 digit number}

(註：%Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

その他

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• .accdb
• .backup
• .backupdb
• .bak1
• .bak2
• .bak3
• .bak4
• .bpdx
• .docm
• .docx
• .docxml
• .email
• .jpeg
• .potm
• .potx
• .ppsm
• .ppsx
• .pptm
• .pptx
• .sql1
• .sql2
• .sqlite
• .tiff
• .vbox
• .vhdx
• .vmdk
• .vmsd
• .vmxf
• .wbcat
• .xlam
• .xlsb
• .xlsm
• .xlsx
• .xltm
• .xltx

マルウェアは、これらのショートカットを作成して、フォルダのアイコンや正規ファイル名を利用してクリックするよう誘導します。

これらのショートカットのターゲットパス：%System%\cmd.exe /C explorer.exe "{folder name - where original files are stored}" & type "{random values}.exe - dropped copy of the malware" - "%tmp%\{random values}.exe - dropped copy of the malware" & start "{folder name - where original files are stored}" "%tmp%\{random values}.exe - dropped copy of the malware"

マルウェアは、以下のコマンドを実行して、すべてのシャドウコピーを削除します。

マルウェアは、完全なパス名に以下の文字列を含んでいるファイルの暗号化はしません。

• games
• program files (x86)
• program files
• windows