• Email
• Facebook
• Twitter
• Google+
• Linkedin

RANSOM_HIDDENTEARDECRYPTOR.A

---

• マルウェアタイプ: トロイの木馬型
• 破壊活動の有無: なし
• 暗号化: なし
• 感染報告の有無: はい

---

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

---

  詳細

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Crypt = %User Startup%\HTCryptor.exe

マルウェアは、Windows起動時に自動実行されるよう＜Common Startup＞フォルダ内に以下のファイルを作成します。

• %User Startup%\HTCryptor.exe - Copy of itself

(註：%User Startup%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" 、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、" C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。.)

作成活動

マルウェアは、以下のファイルを作成します。

• %User Startup%\HTDecryptor.exe - Decryptor Module
• %Desktop%\HTDecryptor.exe - Decryptor Module
• %Start Menu%\HTDecryptor.exe - Decryptor Module
• %Program Files%\HTDecryptor.exe - Decryptor Module
• %User Profile%\Videos\Decryptor.exe - Decryptor Module
• %User Profile%\Pictures\HTDecryptor.exe - Decryptor Module
• %User Profile%\Music\HTDecryptor.exe - Decryptor Module
• %User Startup%\message.exe - lock screen message

(註：%User Startup%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" 、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、" C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。.. %Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.. %Start Menu%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Windows\Start Menu" または "C:\Documents and Settings\＜ユーザ名＞\Start Menu"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu" です。.. %Program Files%フォルダは、プログラムファイルのフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Program Files"、64bitのOS上で32bitのアプリケーションを実行している場合、 "C:\Program Files (x86)" です。.. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.)

その他

マルウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• http://www.websitetest.com/

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• .txt
• .doc
• .docx
• .log
• .msg
• .odt
• .pages
• .rtf
• .tex
• .wpd
• .wps
• .csv
• .dat
• .ged
• .key
• .keychain
• .pps
• .ppt
• .pptx
• .sdf
• .tar
• .tax2014
• .tax2015
• .vcf
• .xml
• .aif
• .iff
• .m3u
• .m4a
• .mid
• .mp3
• .mpa
• .wav
• .wma
• .3g2
• .3gp
• .asf
• .avi
• .flv
• .m4v
• .mov
• .mp4
• .mpg
• .rm
• .srt
• .swf
• .vob
• .wmv
• .3dm
• .3ds
• .max
• .obj
• .bmp
• .dds
• .gif
• .jpg
• .png
• .psd
• .tga
• .thm
• .tif
• .tiff
• .yuv
• .ai
• .eps
• .ps
• .svg
• .indd
• .pct
• .pdf
• .xlr
• .xls
• .xlsx
• .accdb
• .db
• .dbf
• .mdb
• .pdb
• .sql
• .dwg
• .dxf
• .asp
• .aspx
• .cer
• .cfm
• .csr
• .css
• .htm
• .html
• .js
• .jsp
• .php
• .rss
• .xhtml
• .7z
• .cbr
• .deb
• .gz
• .pkg
• .rar
• .rpm
• .sitx
• .tar.gz
• .zip
• .zipx
• .bin
• .cue
• .dmg
• .iso
• .mdf
• .toast
• .vcd
• .class
• .cpp
• .cs
• .dtd
• .fla
• .java
• .lua
• .pl
• .py
• .sh
• .sln
• .swift
• .vb
• .vcxproj
• .xcodeproj
• .bak
• .tmp
• .crdownload
• .ics
• .msi
• .part
• .torrent

マルウェアは、以下のファイル名を使用し、暗号化されたファイルを改称します。

• {Original filename and extension}.locked

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください