RANSOM_HOLA.D
W32/Malicious_Behavior.VEX (Fortinet)
Windows
- マルウェアタイプ: 身代金要求型不正プログラム(ランサムウェア)
- 破壊活動の有無: なし
- 暗号化:
- 感染報告の有無: はい
概要
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
詳細
侵入方法
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
インストール
マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。
- %User Temp%\{Malware Name}.exe
(註:%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\<ユーザー名>\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\<ユーザ名>\AppData\Local\Temp" です。.)
自動実行方法
マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{10 Random Numbers} = %User Temp%\{Malware Name}.exe
他のシステム変更
マルウェアは、以下のレジストリ値を追加します。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{Random Numbers} = {Random Numbers}
ランサムウェアの不正活動
マルウェアは、以下の名称を利用して暗号化されたファイルのファイル名を改称します。
- email-hola@all-ranso{BLOCKED}fo.ver-CL 1.4.1.0.id-{ID number}-{Month in number}@{Day}@{Year} {Hour}@{Minute}@{Second} {AM/PM}{7 Random number}.fname-{File name}.{File Extension}.fairytail
マルウェアが作成する以下のファイルは、脅迫状です。
- {Encrypted Folder}\README.txt