RANSOM_TEARDROP.THBOFH

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %Application Data%\Tear Dr0p.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、以下のファイルを作成します。

• %Application Data%\vmBzz_s.log

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Tear Dr0p (cry more) = %Application Data%\Tear Dr0p.exe

プロセスの終了

マルウェアは、感染コンピュータ上でプロセスが常駐されていることを確認した場合、以下のいずれかの文字列を含むプロセスまたはサービスを終了します。

• KillSwitch
• taskmanger
• processhacker
• regedit
• cmd
• mbam
• malwarebytes_assistant
• mbamtray
• mbamwow
• MBAMWsc
• MSASCui
• capinfos
• dumpcap
• rawshark

ランサムウェアの不正活動

マルウェアは、以下の文字列を含むファイルを暗号化します。

• .htm
• .xhtml
• .html
• .phtml
• .vb
• .sql
• .java
• .cpp
• .c
• .svg
• .txt
• .png
• .gif
• .doc
• .docx
• .xls
• .jpg
• .mp3
• .ogg
• .mp4
• .xml
• .pdf
• .jpeg
• .zip
• .zipx
• .7z
• .rar

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .teardr0p