• Email
• Facebook
• Twitter
• Google+
• Linkedin

RANSOM_USELESS.THEODAH

---

• マルウェアタイプ: 身代金要求型不正プログラム（ランサムウェア）
• 破壊活動の有無: なし
• 暗号化:  
• 感染報告の有無: はい

---

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のレジストリ値を追加し、タスクマネージャを無効にします。これにより、通常はタスクマネージャを介して行うマルウェアのプロセスの終了が実行できなくなります。

---

  詳細

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Windows%\UselessFiles\B.bmp
• %Windows%\UselessFiles\@UselessFiles@.exe
• %User Temp%\{Random 8 Characters}.bat
• %User Temp%\UselessFiles.exe
• {Encrypted Drive}\@UselessFiles@.exe

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

マルウェアは、以下のファイルを作成し実行します。

• %Windows%\UselessFiles\R.exe

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
UselessFiles2 = %Windows%\UselessFiles\C.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
UselessFiles1 = %Windows%\UselessFiles\R.exe

他のシステム変更

マルウェアは、以下のレジストリ値を追加し、タスクマネージャを無効にします。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableTaskMgr = 1

マルウェアは、以下のレジストリ値を変更し、デスクトップの壁紙を変更します。

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %Windows%\UselessFiles\B.bmp

ランサムウェアの不正活動

マルウェアは、以下の文字列を含むファイルを暗号化します。

• .IVF
• .aif
• .aifc
• .aiff
• .asf
• .asx
• .au
• .bmp
• .bmp
• .dib
• .dib
• .doc
• .docx
• .dot
• .dot
• .dvr-ms
• .emf
• .exe
• .fpx
• .gif
• .gif
• .hta
• .htm
• .html
• .ico
• .ico
• .jfif
• .jfif
• .jpe
• .jpe
• .jpeg
• .jpeg
• .jpg
• .jpg
• .m1v
• .m3u
• .mht
• .mid
• .midi
• .mix
• .mp2
• .mp2v
• .mp3
• .mpa
• .mpe
• .mpeg
• .mpg
• .mpv2
• .pdf
• .png
• .png
• .pot
• .pps
• .pps
• .ppt
• .pptx
• .rle
• .rmi
• .rtf
• .search-ms
• .snd
• .tif
• .tif
• .tiff
• .tiff
• .wav
• .wax
• .wm
• .wma
• .wmf
• .wmf
• .wmv
• .wmx
• .wvx
• .xbap
• .xls
• .xlsx
• .xlt
• .xlw
• .xlw
• .xml
• .zip

マルウェアは、以下のディレクトリ内で確認されたファイルを暗号化します。

• %Desktop%
• %User Profile%
• %Windows%
• %ProgramData%
• %Program Files%

(註：%Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.. %ProgramData%フォルダは、Windows Vista および 7 の場合、通常、"C:\ProgramData"、Windows 2000、XP (32ビット)、Server 2003 の場合、"C:\Program Files"、Windows XP (64ビット) の場合、"C:\Program Files (x86)" です。. %Program Files%フォルダは、プログラムファイルのフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Program Files"、64bitのOS上で32bitのアプリケーションを実行している場合、 "C:\Program Files (x86)" です。.)

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください