• Email
• Facebook
• Twitter
• Google+
• Linkedin

TROJ_RANSOM.IEI

---

• マルウェアタイプ: トロイの木馬型
• 破壊活動の有無: なし
• 暗号化: なし
• 感染報告の有無: はい

---

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

---

  詳細

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %System Root%\ProgramData\svcfnmainstvestvs\stppthmainfv.dll
• %System Root%\how to decrypt files.lnk

(註：%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

マルウェアは、以下のフォルダを作成します。

• %System Root%\ProgramData
• %System Root%\ProgramData\{random number}
• %System Root%\ProgramData\svcfnmainstvestvs
• %System Root%\ProgramData\svtstcrs

(註：%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

自動実行方法

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\WinSamSs
ImagePath = {malware path and filename}

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\WinSamSs
Start = "2"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\WinSamSs
DisplayName = "Windows Security Accounts Manager"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\WinSamSs
Description = "The startup of this service signals to other services that the Security Accounts Manager (SAM) is ready to accept other requests. Disabling this service will prevent other services in the system from being notified when the SAM is ready, which may in turn cause those services to fail to start correctly. This service should not be disabled."

他のシステム変更

マルウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
svchost = "%System Root%\{random number}\svchost.exe"

情報漏えい

マルウェアは、以下のパラメータを受け取ります。

• "-i" - Install the malware as a service
• "install" - Install the malware as a service
• "-d" - Delete the service
• "-u" - Delete the service
• "delete" - Delete the malware service
• "-s" - Start the malware service
• "start" - Start the malware service
• "-k" - Stop the malware service
• "kill" - Stop the malware service
• "stop" - Stop the malware service

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください