RANSOM_WANNAHAPPY.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Wannabehappy = {malware file path}

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\WannabeHappy\
EncryptionKeyGenerated
IsGenerated = True

HKEY_CURRENT_USER\Software\WannabeHappy\
Identifier
identifier = {random 20 character string}

HKEY_CURRENT_USER\Software\WannabeHappy\
Identifier
readme = The identifier is your unique identifier to receive your encryptionkey, if removed the encryptionkey can not be returned...So be warned!

HKEY_CURRENT_USER\Software\WannabeHappy\
Encryption
Successfull = True

HKEY_CURRENT_USER\Software\WannabeHappy\
Value
value = {date and time when the malware was run}

HKEY_CURRENT_USER\Software\WannabeHappy\
EncryptionKey
Key{0-999} = {random 40 digit string}

HKEY_CURRENT_USER\Software\WannabeHappy\
EncryptionKey (This registry key is only created when it successfully communicates with c&c server)
Key = {random 200 character string}

HKEY_CURRENT_USER\Software\WannabeHappy\
EncryptionStarted (This registry key is only created when it successfully communicates with c&c server)
EncryptionStarted = True

情報漏えい

マルウェアは、以下の情報を収集します。

• Public IP address
• MAC address

情報収集

マルウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• {BLOCKED}.{BLOCKED}.77.189:8443

ランサムウェアの不正活動

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .encrypted