Ransom.MSIL.CHAOS.B

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

特定のファイル拡張子を持つファイルを暗号化します。 特定のフォルダ内のファイルを暗号化します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\svchost.exe
• {Available Drive}\surprise.exe

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のプロセスを追加します。

• %Application Data%\svchost.exe
• %System%\notepad.exe %Application Data%\read_apis.txt

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Microsoft Store = %Application Data%\svchost.exe

マルウェアは、＜User Startup＞フォルダ内に、自身のコピーに誘導する以下のショートカットを作成します。これにより、Windows起動時に自身のコピーが自動実行されます。

• %User Startup%\svchost.url

(註：%User Startup%フォルダは、現在ログオンしているユーザのスタートアップフォルダです。Windows 98およびMEの場合、通常 "C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows NTの場合、通常 "C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows 2003(32-bit)、XP、2000(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows Vista、7、8、 8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。)

ランサムウェアの不正活動

以下の拡張子を持つファイルを暗号化します：$$ DATA $$

• .3gp
• .7z
• .7-zip
• .accdb
• .accde
• .accdr
• .accdt
• .ace
• .amv
• .apk
• .arj
• .asp
• .aspx
• .avi
• .backup
• .bak
• .bay
• .bk
• .blob
• .bmp
• .bz2
• .cab
• .cer
• .config
• .contact
• .core
• .cpp
• .crt
• .cs
• .css
• .csv
• .cvs
• .dat
• .db
• .dbf
• .djvu
• .doc
• .docm
• .docx
• .dot
• .dotx
• .dwg
• .exif
• .flv
• .gif
• .gz
• .gzip
• .htm
• .html
• .ibank
• .ico
• .inc
• .ini
• .iso
• .jar
• .java
• .jpe
• .jpeg
• .jpg
• .js
• .json
• .jsp
• .kmz
• .lnk
• .log
• .lzh
• .m1v
• .m4a
• .m4p
• .m4v
• .mdb
• .mkv
• .mov
• .mp3
• .mp4
• .mpeg
• .mpg
• .obj
• .ods
• .odt
• .onepkg
• .p7c
• .pas
• .pdb
• .pdf
• .php
• .png
• .pot
• .potm
• .potx
• .ppam
• .pps
• .ppsm
• .ppt
• .pptm
• .pptx
• .psd
• .pst
• .py
• .rar
• .rb
• .rtf
• .settings
• .sie
• .sln
• .sql
• .sum
• .svg
• .swf
• .tar
• .torrent
• .txt
• .vb
• .vdi
• .vmdk
• .wallet
• .wav
• .webm
• .wma
• .wmv
• .wpd
• .wps
• .xla
• .xlam
• .xls
• .xlsb
• .xlsm
• .xlsx
• .xltx
• .xlw
• .xml
• .xps
• .xsd
• .xsf
• .xsl
• .xz
• .zip

マルウェアは、以下のディレクトリ内で確認されたファイルを暗号化します。

• %Desktop%
• %User Profile%\Links
• %User Profile%\Contacts
• %User Profile%\Documents
• %User Profile%\Downloads
• %User Profile%\Pictures
• %User Profile%\Music
• %User Profile%\OneDrive
• %User Profile%\Saved Games
• %User Profile%\Favorites
• %User Profile%\Searches
• %User Profile%\Videos

(註：%Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\Desktop" です。. %User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。)

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• read_apis.txt

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .apis

マルウェアは、以下の内容を含む脅迫状のテキストファイルを残します。

• {Encrypted Folder}\read_apis.txt
• %Application Data%\read_apis.txt