RANSOM_XEROWARE.JNA

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}.{BLOCKED}.146.199/index.php?info={MachineName}{ComputerUsername}

ただし、情報公開日現在、このWebサイトにはアクセスできません。

ランサムウェアの不正活動

マルウェアは、以下の文字列を含むファイルを暗号化します。

• .txt
• .doc
• .docx
• .xls
• .xlsx
• .ppt
• .pptx
• .odt
• .jpg
• .png
• .csv
• .sql
• .mdb
• .sln
• .php
• .asp
• .aspx
• .html
• .xml
• .psd
• .pdf

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .XERO

マルウェアが作成する以下のファイルは、脅迫状です。

• %Desktop%\XeroWare_ReadME.txt

(註：%Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.)

マルウェアは、以下の内容を含む脅迫状のテキストファイルを残します。

• "Your files have been encrypted and your computer has been infected with XeroWare Ransom 1.2.", "Q&A:", "1) What Should I do?", "A: Pay the specific amount we are asking from you in order to decrypt your files.", "2) Can i try to remove the malware?", "A: If you try anything your files will be removed, YOU have been WARNED.", "3) How can i pay in order to decrypt my files ?", "A: Copy the provided btc address and send the money.", "4) How do i verify my payment?", "A: You provide the payment transaction ID and you click confirm transaction.", "5) What will happen if the payment transaction is not valid?", "A: If you try to provide anything alike to fake or not valid your files will be destroyed permanetly.", "6) I have paid and verified my transaction how do i decrypt my files?", "A: If you have paid and verified your transaction just simply click the decrypt button and everything will revert back to normal.","You have 96 hours in order to complete that task, otherwise your files will be destroyed.", "Time has already started...",