Ransom.MSIL.BLACKHOLE.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

特定のファイル拡張子を持つファイルを暗号化します。 特定のフォルダ内のファイルを暗号化します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• "{path}"

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• SystemSettings
• SecurityHealthSystray
• ApplicationFrameHost
• msconfig
• cmd
• conhost
• regedit
• powershell
• powershell_ise
• CheatEngine
• MpCmdRun
• MpDlpCmd
• NisSrv
• ConfigSecurityPolicy
• MsMpEng
• mmc
• Taskmgr
• ProcessHacker
• Fiddler
• control
• FileHistory
• OptionalFeatures
• cleanmgr
• SystemPropiertiesRemote
• dllhost
• UserAccountControlSetting
• recdisk
• sdclt
• services
• RecoveryDrive
• rstrui
• SystemPropertiesProtection

その他

マルウェアは、以下を実行します。

• Accesses https://www.{BLOCKED}hdmmmfurhsg.com
  • if it can access the url:
  • It terminates and deletes itself
  • If it cant access the url:
  • It will create the following folder:
  • %Desktop%\Keys
  • It will drop the following file:
  • %Desktop%\Keys\{Random characters}.txt.Keyr -> encrypted local copy of the key
  • It will Modify MBR to show the following when the timer on the ransom window runs out or if the machine is restarted:
• Shows the following window that serves as the ransom note:
  
  
  

ランサムウェアの不正活動

以下の拡張子を持つファイルを暗号化します：$$ DATA $$

• .exe
• .doc
• .docx
• .xls
• .xlsx
• .bin
• .hta
• .txt
• .jpg
• .png
• .xml
• .php
• .sql
• .csv
• .mdb
• and 8,630 other file extensions

マルウェアは、以下のディレクトリ内で確認されたファイルを暗号化します。

• A:\
• B:\
• C:\
• D:\
• E:\
• F:\
• G:\
• H:\
• I:\
• J:\
• K:\
• L:\
• M:\
• N:\
• O:\
• P:\
• Q:\
• R:\
• S:\
• T:\
• U:\
• W:\
• X:\
• Y:\
• Z:\
• C:\Users\{Username}\Downloads\
• C:\Users\{Username}\Documents\
• C:\Users\{Username}\Pictures\
• C:\Users\{Username}\Music\
• C:\Users\{Username}\3D Objects\
• C:\Users\{Username}\Videos\
• C:\Users\{Username}\OneDrive\
• C:\Users\{Username}\Network\
• %Desktop%

(註：%Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\Desktop" です。)

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .BlckH