RANSOM_PRINCESSLOCKER.B

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

トレンドマイクロは、2018 年8 月、Rig EK によって拡散される新しいランサムウェアを確認しました。このランサムウェアは「PRINCESS EVOLUTION（プリンセスエボリューション）」と呼ばれており、2016 年に確認された暗号化型ランサムウェア「PRINCESS LOCKER」の新しいバージョンです。PRINCESS EVOLUTION マルウェアは、「Ransomware as a Service（サービスとしてのランサムウェア、RaaS）」としてアンダーグラウンドで提供されていました。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Application Data%\MeGEZan.VDE

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のプロセスを追加します。

• %Program Files%\Internet Explorer\iexplore.exe" -nohome ← Command to set the Internet Explorer's home page disabled

(註：%Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。Windows 2000、Server 2003、XP（32-bit）,Vista（32-bit）、7（32-bit）、8（32-bit）の場合、通常 "C:\Program Files"です。また、Windows XP（64-bit）、Vista（64-bit）、7（64-bit）、8（64-bit）の場合、通常 "C:\Program Files（x86）" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• hoJUpcvgHA

他のシステム変更

マルウェアは、インストールの過程で以下のレジストリキーまたはレジストリ値を変更します。

HKEY_CURRENT_USER\Control Panel\Desktop value
Wallpaper = %User Profile%\Pictures\img.png

バックドア活動

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}.{BLOCKED}.195.0/23:6901

情報漏えい

マルウェアは、以下の情報を収集します。

• User Name
• Name of Active Network Interface
• System Locale ID
• OS Version
• Victim ID (Generated by the malware)

その他

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• .1cd
• .3ds
• .3gp
• .accdb
• .ai
• .ape
• .asp
• .aspx
• .bc6
• .bc7
• .bmp
• .cdr
• .cer
• .cfg
• .cfgx
• .cpp
• .cr2
• .crt
• .crw
• .csr
• .csv
• .dbf
• .dbx
• .dcr
• .dfx
• .dib
• .djvu
• .doc
• .docm
• .docx
• .dwg
• .dwt
• .dxf
• .dxg
• .eps
• .htm
• .html
• .ibank
• .indd
• .jfif
• .jpe
• .jpeg
• .jpg
• .kdc
• .kwm
• .max
• .md
• .mdb
• .mdf
• .odb
• .odc
• .odm
• .odp
• .ods
• .odt
• .orf
• .p12
• .p7b
• .p7c
• .pdf
• .pef
• .pem
• .pfx
• .php
• .pl
• .png
• .pps
• .ppt
• .pptm
• .pptx
• .psd
• .pst
• .pub
• .pwm
• .py
• .qbb
• .qbw
• .raw
• .rtf
• .sln
• .sql
• .sqlite
• .svg
• .tif
• .tiff
• .txt
• .vcf
• .wallet
• .wpd
• .xls
• .xlsm
• .xlsx
• .xml

ランサムウェアの不正活動

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• \appdata\
• \chrome\
• \internet explorer\
• \local settings\
• \microsoft\
• \mozilla\
• \msocache\
• \program files (x86)\
• \program files\
• \programdata\
• \recycler\
• \system volume information\
• \windows\
• \$recycle.bin\

マルウェアが作成する以下のファイルは、脅迫状です。

• %User Profile%\img.png
• {Encrypted Directory}\(_H0W_TO_REC0VER_{Random Characters}.txt
• {Encrypted Directory}\(_H0W_TO_REC0VER_{Random Characters}.html
• {Encrypted Directory}\(_H0W_TO_REC0VER_{Random Characters}.url

(註：%User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞" です。)

＜補足＞
インストール

マルウェアは、以下のプロセスを追加します。

• %Program Files%\Internet Explorer\iexplore.exe" -nohome ← Internet Explorer（IE）のホームページを無効にするコマンド

情報漏えい

マルウェアは、以下の情報を収集します。

• ユーザ名
• アクティブネットワークインターフェイスの名前
• システムロケールID
• OSのバージョン
• 犠牲者ID（マルウェアによって生成される）

その他

マルウェアは、以下の脅迫状を表示します。

作成された脅迫状のHTMLファイルにアクセスすると、以下のように表示されます。

マルウェアが作成する以下のファイルは、脅迫状です。

• %User Profile%\img.png
• {Encrypted Directory}\(_H0W_TO_REC0VER_{ランダムな文字}.txt
• {Encrypted Directory}\(_H0W_TO_REC0VER_{ランダムな文字}.html
• {Encrypted Directory}\(_H0W_TO_REC0VER_{ランダムな文字}.url