Ransom.MSIL.CRYNG.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、実行後、自身を削除します。

特定のファイル拡張子を持つファイルを暗号化します。 身代金要求文書のファイルを作成します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成し実行します。

• {malware directory}\kill.bat
• {malware directory}\killme.bat

マルウェアは、実行後、自身を削除します。

その他

マルウェアは、以下を実行します。

• It requires the argument "cc" to be able to run.
• Through the dropped file, kill.bat, it forcefully deletes files with the following strings and file extensions using del /s /f /q command in drives D:\, E:\, F:\, G:\, and H:\ if available:
  • *.VHD
  • *.bac
  • *.bak
  • *.wbcat
  • *.bkf
  • Backup*.*
  • backup*.*
  • *.set
  • *.win
  • *.dsk
• If not executed as administrator:
  • It will encrypt files.
  • It will not drop ransom notes.
  • It will not be able to create killme.bat, and thus will not be able to delete itself.
  • It will encounter problems upon attempting to write in the System drive (C:\)
• In executing kill.bat, it forcefully terminates the following programs through taskkill /IM /F command:
  • mspub.exe
  • mydesktopqos.exe
  • mydesktopservice.exe
• If run without arguments, the program will write the following message in a console and terminate itself:
  • "donot cry :)"
• It will log the files it successfully encrypted and display the following message in a console:
  • "Finished :("
• It checks for either conditions before accessing a drive for encryption:
  • Drive is not a Fixed Drive nor a Removable Drive.
  • Drive is ready or accessible for read/write operations.

ランサムウェアの不正活動

以下の拡張子を持つファイルを暗号化します：$$ DATA $$

• .vhdx
• .ndf
• .wk
• .xlsx
• .txt
• .doc
• .xls
• .mdb
• .mdf
• .sql
• .bak
• .ora
• .pdf
• .ppt
• .dbf
• .zip
• .rar
• .aspx
• .php
• .jsp
• .bkf
• .csv
• file extensions that start with the strings above

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• C:\Windows

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .cring

マルウェアが作成する以下のファイルは、脅迫状です。

• %System%\deReadMe!!!.txt (if running as administrator)
• {malware directory}\deReadMe!!!.txt (if running as administrator)
•