• Email
• Facebook
• Twitter
• Google+
• Linkedin

Ransom.Win32.BLACKBASTA.THBBHBC

---

• マルウェアタイプ: 身代金要求型不正プログラム（ランサムウェア）
• 破壊活動の有無: なし
• 暗号化:  
• 感染報告の有無: はい

---

  概要

マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

---

  詳細

侵入方法

マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\fkdjsadasd.ico
• {All Affected Drives}\instructions_read_me.txt
• {All Affected Folders}\instructions_read_me.txt

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のプロセスを追加します。

• %System%\cmd.exe /c %Windows%\SysNative\vssadmin.exe delete shadows /all /quiet
• %System%\cmd.exe /c start /MAX notepad.exe c:\instructions_read_me.txt

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• ofijweiuhuewhcsaxs.mutex

その他

マルウェアは、以下を実行します。

• It displays "ESET" as its legal copyright and "ESET Update Reminder" as its product name to evade detection
  It encrypts files found in the following drive types:
  • Fixed drive
  • Network drive
  • RAM Disks
  
  It changes the icon of all encrypted files using the file "fkdjsadasd.ico"
  It accepts the following parameters:
  • -bomb
  • -killservices
  • -killprocesses
  • -forceprivate
  • -forcepath
  • -nomutex
  • -disablewhitelist
  • -file
  • -threads

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• instructions_read_me.txt
• fkdjsadasd.ico
• NTUSER.DAT

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• $Recycle.Bin
• Windows
• Local Settings
• Application Data
• Boot

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .vokou2s5g

マルウェアが作成する以下のファイルは、脅迫状です。

• {Infected Drive\Folders}\instructions_read_me.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .vokou2s5g

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください