• Email
• Facebook
• Twitter
• Google+
• Linkedin

Ransom.MSIL.CYBORG.AA

---

• マルウェアタイプ: 身代金要求型不正プログラム（ランサムウェア）
• 破壊活動の有無: なし
• 暗号化:  
• 感染報告の有無: はい

---

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

特定のファイル拡張子を持つファイルを暗号化します。 身代金要求文書のファイルを作成します。

---

  詳細

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを追加します。

• %ProgramData%\Microsoft\Network\Connections\Cm\NyanCat

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

マルウェアは、以下のファイルを作成します。

• {Drive Letter}\bot.exe → detected as Ransom.MSIL.CYBORG.SMTH
• {Drive Letter}\autorun.inf → automatically executes .\bot.exe

マルウェアは、以下のファイルを作成し実行します。

• %User Temp%\tmp{4-random-characters}.tmp.exe → detected as Ransom.MSIL.CYBORG.SMTH
• %Temp%\{8-random-characters}.inf → contains command for executing %User Temp%\tmp{4-random-characters}.tmp.exe

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Temp%フォルダは、一時的にファイルが保存されるフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Windows\Temp" です。.)

マルウェアは、以下のプロセスを追加します。

• %System%\cmstp.exe /au %Temp%\{8-random-characters}.inf
• %Program Files%\Internet Explorer\iexplore.exe -nohome

(註：%Temp%フォルダは、一時的にファイルが保存されるフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Windows\Temp" です。.. %Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。)

他のシステム変更

マルウェアは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Control Panel\Desktop
WallpaperStyle = 2

HKEY_CURRENT_USER\Control Panel\Desktop
TileWallpaper = 0

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = "{Malware Directory}\Cyborg_DECRYPT.jpg"

マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。

• {Malware Directory}\Cyborg_DECRYPT.jpg
  

その他

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\ShortCutInfection
{Malware Filename}.{Malware Filename} = "True"

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• https://{BLOCKED}o.co/2f8nx5

マルウェアは、以下を実行します。

• It displays the following user interface once executed:
  

ランサムウェアの不正活動

以下の拡張子を持つファイルを暗号化します：$$ DATA $$

• .txt
• .doc
• .docx
• .mp3
• .xls
• .xlsx
• .ppt
• .sql
• .wmv
• .mp4
• .iso
• .dll
• .jar
• .pptx
• .odt
• .jpg
• .tar
• .gz
• .bmp
• .pbm
• .rtf
• .png
• .csv
• .mdb
• .sln
• .phpavi
• .mov
• .flv
• .amv
• .mpv
• .mtv
• .asp
• .aspx
• .html
• .xml
• .psd
• .pdf
• .exe
• .rv
• .rvx
• .ved
• .wm
• .rar
• .xwmv
• .wma
• .midi
• .fla
• .ico
• .gif
• .ogg
• .mpg
• .icns
• .zip
• .BAT
• .c
• .7z
• .EXEsql
• .m4a
• .avi
• .d3dbsp
• .sie
• .sum
• .ibank
• .t13
• .t12
• .qdf
• .gdb
• .tax
• .pkpass
• .bc6
• .bc7
• .bkp
• .qic
• .bkf
• .sidn
• .sidd
• .mddata
• .itl
• .itdb
• .icxs
• .hvpl
• .hplg
• .hkdb
• .mdbackup
• .syncdb
• .gho
• .cas
• .svg
• .map
• .wmo
• .itm
• .sb
• .fos
• .vdf
• .ztmp
• .sis
• .sid
• .ncf
• .menu
• .layout
• .dmp
• .blob
• .esm
• .vcf
• .vtf
• .dazip
• .fpk
• .mlx
• .kf
• .iwd
• .vpk
• .tor
• .psk
• .rim
• .w3x
• .fsh
• .ntl
• .arch00
• .lvl
• .snx
• .cfr
• .ff
• .vpp_pc
• .lrf
• .m2
• .mcmeta
• .vfs0
• .mpqge
• .kdb
• .db0
• .dba
• .rofl
• .hkx
• .bar
• .upk
• .das
• .iwi
• .litemod
• .asset
• .forge
• .ltx
• .bsa
• .apk
• .re4
• .sav
• .lbf
• .slm
• .bik
• .epk
• .rgss3a
• .pak
• .bigwallet
• .wotreplay
• .xxx
• .desc
• .py
• .m3u
• .js
• .css
• .rb
• .jpeg
• .p7c
• .p7b
• .p12
• .pfx
• .pem
• .crt
• .cer
• .der
• .x3f
• .srw
• .pef
• .ptx
• .r3d
• .rw2
• .rwl
• .raw
• .raf
• .orf
• .nrw
• .mrwref
• .mef
• .erf
• .kdc
• .dcr
• .cr2
• .crw
• .bay
• .sr2
• .srf
• .arw
• .3fr
• .dng
• .jpe
• .cdr
• .indd
• .ai
• .eps
• .pdd
• .dbf
• .mdf
• .wb2
• .wpd
• .dxg
• .xf
• .dwg
• .pst
• .accdb
• .pptm
• .xlk
• .xlsb
• .xlsm
• .wps
• .docm
• .odb
• .odc
• .odm
• .odp
• .ods

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .petya

マルウェアが作成する以下のファイルは、脅迫状です。

• %Desktop%\Cyborg_DECRYPT.txt
• %User Profile%\Music\Cyborg_DECRYPT.txt
• %User Profile%\Pictures\Cyborg_DECRYPT.txt
  

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください