Trend Micro Security

RANSOM_LOCKY.DLDSAPL

2016年11月10日
 解析者: Ryan Gardo   
 別名:

(Microsoft) Ransom:Win32/Locky.A; (Malwarebytes) Ransom.Locky

 プラットフォーム:

Windows

 危険度:
 ダメージ度:
 感染力:
 感染確認数:
 情報漏えい:


  • マルウェアタイプ: トロイの木馬型
  • 破壊活動の有無: なし
  • 暗号化:  
  • 感染報告の有無: はい

  概要


マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

  詳細

ファイルサイズ 245,760 bytes
タイプ DLL
メモリ常駐 はい
発見日 2016年10月4日

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

  • {folder of encrypted files}\_{number of folders encrypted}_HOWDO_text.html

マルウェアは、以下のファイルを作成し実行します。

  • %Desktop%\_HOWDO_text.bmp
  • %Desktop%\_HOWDO_text.html

(註：%Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.)

他のシステム変更

マルウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Control Panel\Desktop
TileWallpaper = "0"

HKEY_CURRENT_USER\Control Panel\Desktop
WallpaperStyle = "0"

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = "%Desktop%\_HOWDO_text.bmp"

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

  • http://{BLOCKED}.{BLOCKED}.26.201/apache_handler.php
  • http://{randomly generated domain}.{ru, info, biz, click, su, work, pl, org, pw, org}/apache_handler.php

マルウェアは、以下のファイル名を使用し、暗号化されたファイルを改称します。

  • {unique ID per victim}-{identifier}.odin