Ransom_WARRIOR.THHOGAH

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %System Root%\RansomWarrior 1.0\KeyCrypt.THBEC ← File to input the bought decryption key
• %System Root%\RansomWarrior 1.0\Happened.THBEC
• %System Root%\RansomWarrior 1.0\FreeFileNamesCrypted.THBEC ← List of decrypted files for free
• %System Root%\RansomWarrior 1.0\Number_Of_Encrypted_Files.THBEC ← List of the number of encrypted files
• %System Root%\RansomWarrior 1.0\Date_Happened.THBEC ← Date when the encryption started
• %System Root%\RansomWarrior 1.0\TEX.THBEC
• %System Root%\RansomWarrior 1.0\DEX.THBEC

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

マルウェアは、以下のフォルダを作成します。

• %System Root%\RansomWarrior 1.0

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

その他

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• .ACP
• .ACT
• .AFM
• .AI
• .ALL
• .ANS
• .ASC
• .ASM
• .ASP
• .AVI
• .BAK
• .BAS
• .BAT
• .BFC
• .BMP
• .BTM
• .CLASS
• .CLP
• .CMD
• .CMP
• .COM
• .CPP
• .CVS
• .DAT
• .DBF
• .DIF
• .DOC
• .DOCX
• .EPS
• .EXE
• .FM3
• .GAL
• .GIF
• .H
• .HPP
• .HQX
• .HTM
• .HTML
• .ICO
• .JAVA
• .JPG
• .JPEG
• .LBM
• .LIB
• .MAC
• .MAP
• .MDB
• .MID
• .MIDI
• .MMF
• .MMM
• .MOV
• .MSG
• .MSP
• .MUS
• .OBJ
• .PDF
• .PNG
• .PPT
• .PPTX
• .PSD
• .PSP
• .QLB
• .QT
• .QTM
• .RA
• .RTF
• .SAV
• .SCR
• .SIT
• .TAR
• .TIF
• .TXT
• .VBP
• .XLS
• .XLSX
• .ZIP

ランサムウェアの不正活動

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• All Users
• Microsoft
• Windows
• Package Cache
• AppData
• Google
• Chrome
• User Data
• Internet Explorer
• Java
• RansomWarrior 1.0

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• $Recycle.Bin
• Documents and Settings
• DRIVERS
• Intel
• PerfLogs
• Program Files
• Program Files (x86)
• ProgramData
• Programmer
• Recovery
• System Volume Information
• Windows
• 39ce3cc9a4c9635fb5a3
• a0d8335d1416763a86
• Tor Browser

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .THBEC