TROJ_RANSOM.HUN

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、ハンガリーのユーザを対象としています。マルウェアは、ユーザのコンピュータをロックし、暗号化されたファイルタイプを列挙します。また、マルウェアは、身代金の額とともに、ファイルのロックを解除する手順を表示します。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %System Root%\w.bmp

(註：%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

マルウェアは、以下のファイルを作成します。

• %Windows%\system\cl32.dll

(註：%Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Windows%\system\csrss.exe

(註：%Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。)

マルウェアは、以下のプロセスを追加します。

• iexplore.exe
      Launch http://szelvesz.2u.se/hun

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
MS = "{Malware Path}\{Malware Filename}.exe}"

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
cmd.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
command.com

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
dllhost.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
mbam.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
msconfig.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
regedit.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
rstrui.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
taskmgr.exe

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• taskmgr.exe
• msconfig.exe
• rundll32.exe
• cmd.exe
• mbam.exe
• rstrui.exe

その他

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• *.jpeg
• *.jpg
• *.doc
• *.png
• *.gif
• *.mp3
• *.mp4
• *.wav
• *.docx
• *.rtf
• *.txt
• *.pps
• *.ppt
• *.pptx
• *.m4a
• *.mid
• *.wmv
• *.wma
• *.mpg
• *.mov
• *.avi
• *.3gp
• *.psd
• *.xls
• *.xlxs
• *.html
• *.php
• *.zip
• *.rar
• *.bak

マルウェアが自身の不正活動を実行するためには、以下のファイルが必要になります。

• {Malware Path}\CL32.dll

マルウェアが追加する以下のプロセスは、"http://szelvesz.2u.se/hun" を開くために利用されます。

• iexplore.exe

マルウェアは、以下のレジストリ値を作成し、コンピュータとセキュリティ対策の実行を妨げます。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\{app name}
Debugger = "%System Root%\die.exe"

「{app name}」の値は、以下のうちのいずれかとなる可能性があります。

• cmd.exe
• command.com
• dllhost.exe
• mbam.exe
• msconfig.exe
• regedit.exe
• rstrui.exe
• taskmgr.exe

マルウェアは、拡張子".ENC"を暗号化されたファイルに付加します。マルウェアは、ユーザのコンピュータをロックし、以下を表示します。