Ransom_Stop.R002C0GK119

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %appdatalocal%\{guid}\{malware file name}.exe

マルウェアは、以下のプロセスを追加します。

• icacls "%AppDataLocal%\{GUID}" /deny *S-1-1-0:(OI)(CI)(DE,DC)
• "%User Temp%\f20ef8f3911eb13270abe3aa7605b7d10f7ab719.exe" --Admin IsNotAutoStart IsNotTask
• %User Temp%\f20ef8f3911eb13270abe3aa7605b7d10f7ab719.exe --Admin IsNotAutoStart IsNotTask
• %AppDataLocal%\{GUID}\5.exe
• %System%\DllHost.exe /Processid:{F9717507-6651-4EDB-BFF7-AE615179BCCF}
• %System%\cmd.exe /c taskkill /im 5.exe /f & erase %AppDataLocal%\{GUID}\5.exe & exit
• %System%\lsass.exe
• taskkill /im 5.exe /f

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、以下のフォルダを作成します。

• %All Users Profile%
• %All Users Profile%\4R8WBES1BX2A3VRZJLCKYUNEX\files\Autofill
• %All Users Profile%\4R8WBES1BX2A3VRZJLCKYUNEX\files\Wallets\Exodus
• %All Users Profile%\4R8WBES1BX2A3VRZJLCKYUNEX\files\CC
• %All Users Profile%\4R8WBES1BX2A3VRZJLCKYUNEX\files\Soft\Authy
• %All Users Profile%\4R8WBES1BX2A3VRZJLCKYUNEX\files\History
• %All Users Profile%\4R8WBES1BX2A3VRZJLCKYUNEX\files\Wallets\MultiDoge
• %All Users Profile%\4R8WBES1BX2A3VRZJLCKYUNEX\files\Wallets
• %System Root%\SystemID
• %AppDataLocal%\{GUID}
• %All Users Profile%\4R8WBES1BX2A3VRZJLCKYUNEX\files\Downloads
• %All Users Profile%\4R8WBES1BX2A3VRZJLCKYUNEX\files\Wallets\JAXX
• %All Users Profile%\4R8WBES1BX2A3VRZJLCKYUNEX\files\Wallets\Ethereum
• %All Users Profile%\4R8WBES1BX2A3VRZJLCKYUNEX\files\Wallets\ElectronCash
• %All Users Profile%\4R8WBES1BX2A3VRZJLCKYUNEX
• %All Users Profile%\4R8WBES1BX2A3VRZJLCKYUNEX\files\Wallets\Electrum
• %All Users Profile%\4R8WBES1BX2A3VRZJLCKYUNEX\files\Files
• %All Users Profile%\4R8WBES1BX2A3VRZJLCKYUNEX\files\Soft
• %All Users Profile%\4R8WBES1BX2A3VRZJLCKYUNEX\files\Cookies
• %All Users Profile%\4R8WBES1BX2A3VRZJLCKYUNEX\files\Wallets\ElectrumLTC
• %All Users Profile%\4R8WBES1BX2A3VRZJLCKYUNEX\files

(註：%All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。. %System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
SysHelper = "%appdatalocal%\{guid}\{malware file name}.exe --autostart"

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion
SysHelper = "1"

作成活動

マルウェアは、以下のファイルを作成します。

• %All Users Profile%\4R8WBES1BX2A3VRZJLCKYUNEX\c
• %All Users Profile%\4R8WBES1BX2A3VRZJLCKYUNEX\files\Autofill\Google Chrome_Default.txt
• %All Users Profile%\4R8WBES1BX2A3VRZJLCKYUNEX\files\outlook.txt
• %System Root%\Python27\pythonw.exe
• %All Users Profile%\4R8WBES1BX2A3VRZJLCKYUNEX\files\Cookies\Edge_Cookies.txt
• %All Users Profile%\4R8WBES1BX2A3VRZJLCKYUNEX\history-wal
• %All Users Profile%\4R8WBES1BX2A3VRZJLCKYUNEX\ld
• %System Root%\Python27\DLLs\select.pyd
• %All Users Profile%\4R8WBES1BX2A3VRZJLCKYUNEX\c-shm
• %All Users Profile%\4R8WBES1BX2A3VRZJLCKYUNEX\history-shm
• %All Users Profile%\4R8WBES1BX2A3VRZJLCKYUNEX\files\Soft\Authy\xea\xb9\x98\xce\xb2\xeb\xbb\x88\xc8\x9d\xe5\xa9\x98\xc8\xb5\xeb\xbe\xa0\xc8\x9d
• %All Users Profile%\4R8WBES1BX2A3VRZJLCKYUNEX\files\cookie_list.txt
• %All Users Profile%\4R8WBES1BX2A3VRZJLCKYUNEX\files\Wallets\ElectrumLTC\
• %All Users Profile%\4R8WBES1BX2A3VRZJLCKYUNEX\files\Files\lnk.zip
• %All Users Profile%\freebl3.dll
• %All Users Profile%\nss3.dll
• %All Users Profile%\vcruntime140.dll
• %System Root%\Python27\DLLs\_ctypes.pyd
• %All Users Profile%\4R8WBES1BX2A3VRZJLCKYUNEX\files\Wallets\Exodus
• %All Users Profile%\4R8WBES1BX2A3VRZJLCKYUNEX\files\CC\Google Chrome_Default.txt
• %System Root%\Python27\DLLs\pyexpat.pyd
• %All Users Profile%\mozglue.dll
• %System Root%\SystemID\PersonalID.txt
• I:\5d2860c89d774.jpg
• %All Users Profile%\4R8WBES1BX2A3VRZJLCKYUNEX\files\History\history_Mozilla Firefox_lj5mikyj.default.txt
• %All Users Profile%\4R8WBES1BX2A3VRZJLCKYUNEX\c-wal
• %System Root%\Python27\DLLs\bz2.pyd
• %System Root%\Python27\DLLs\_hashlib.pyd
• %AppDataLocal%\bowsakkdestx.txt
• %All Users Profile%\4R8WBES1BX2A3VRZJLCKYUNEX\files\Wallets\Ethereum\xe1\x93\x9d\xe7\x95\x9a
• %All Users Profile%\4R8WBES1BX2A3VRZJLCKYUNEX\files\screenshot.jpg
• %All Users Profile%\4R8WBES1BX2A3VRZJLCKYUNEX\files\passwords.txt
• %AppDataLocal%\{GUID}\5.exe
• %All Users Profile%\4R8WBES1BX2A3VRZJLCKYUNEX\files\Cookies\cookies_Mozilla Firefox_lj5mikyj.default.txt
• %All Users Profile%\4R8WBES1BX2A3VRZJLCKYUNEX\files\Wallets\Exodus\
• %All Users Profile%\softokn3.dll
• %All Users Profile%\4R8WBES1BX2A3VRZJLCKYUNEX\files\History\Google Chrome_Default.txt
• %All Users Profile%\4R8WBES1BX2A3VRZJLCKYUNEX\files\Wallets\JAXX\
• %All Users Profile%\4R8WBES1BX2A3VRZJLCKYUNEX\files\Cookies\Google Chrome_Default.txt
• %All Users Profile%\4R8WBES1BX2A3VRZJLCKYUNEX\files\Wallets\ElectronCash\
• %All Users Profile%\4R8WBES1BX2A3VRZJLCKYUNEX\history
• %All Users Profile%\4R8WBES1BX2A3VRZJLCKYUNEX\US_0efadd19-2a94-41fb-8931-f2bbc5d613331861464453.zip
• %All Users Profile%\4R8WBES1BX2A3VRZJLCKYUNEX\files\information.txt
• %All Users Profile%\4R8WBES1BX2A3VRZJLCKYUNEX\files\Downloads\Google Chrome_Default.txt
• %System Root%\Python27\DLLs\_ssl.pyd
• %All Users Profile%\4R8WBES1BX2A3VRZJLCKYUNEX\historych
• %All Users Profile%\4R8WBES1BX2A3VRZJLCKYUNEX\files\Wallets\Electrum\
• %All Users Profile%\4R8WBES1BX2A3VRZJLCKYUNEX\files\Cookies\IE_Cookies.txt
• %System Root%\Python27\DLLs\_socket.pyd
• %User Profile%\usb_drive.img
• %All Users Profile%\4R8WBES1BX2A3VRZJLCKYUNEX\files\Files\DESKTOP.zip
• %All Users Profile%\4R8WBES1BX2A3VRZJLCKYUNEX\wd
• %All Users Profile%\4R8WBES1BX2A3VRZJLCKYUNEX\files\Wallets\MultiDoge\
• %All Users Profile%\msvcp140.dll

(註：%All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。. %System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。. %User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}1.ug/files/cost/updatewin1.exe
• http://{BLOCKED}1.ug/{random path}?{random characters}
• http://{BLOCKED}1.ug/files/cost/updatewin2.exe
• http://{BLOCKED}1.ug/files/cost/updatewin.exe
• http://{BLOCKED}1.ug/files/cost/3.exe
• http://{BLOCKED}1.ug/files/cost/4.exe
• http://{BLOCKED}1.ug/files/cost/5.exe
• http://{BLOCKED}t.org/517
• http://{BLOCKED}t.org/freebl3.dll
• http://{BLOCKED}t.org/mozglue.dll
• http://{BLOCKED}t.org/msvcp140.dll
• http://{BLOCKED}t.org/nss3.dll
• http://{BLOCKED}t.org/softokn3.dll
• http://{BLOCKED}t.org/vcruntime140.dll
• http://{BLOCKED}i.com/line
• http://api.{BLOCKED}p.ua

ランサムウェアの不正活動

マルウェアは、以下の名称を利用して暗号化されたファイルのファイル名を改称します。

• {encrypted file}.coot

マルウェアが作成する以下のファイルは、脅迫状です。

• _readme.txt

このウイルス情報は、自動解析システムにより作成されました。