Ransom.MSIL.FDECRYPT.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Startup%\Ransomware.exe

(註：%User Startup%フォルダは、現在ログオンしているユーザのスタートアップフォルダです。Windows 98およびMEの場合、通常 "C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows NTの場合、通常 "C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows 2003(32-bit)、XP、2000(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows Vista、7、8、 8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。)

マルウェアは、以下のプロセスを追加します。

• "cmd.exe" /c vssadmin.exe delete shadows /all /quiet
• "cmd" /C vssadmin Delete Shadows /All /Quiet
• "netsh.exe" Advfirewall set allprofiles state off

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• kir
• kos
• mysql

その他

マルウェアは、以下を実行します。

• It requires to be executed as an administrator:
  
• It avoids encrypting files with the following file names:
  • BlackRoot-Ransomware.exe
  • boot.sdi
  • bootmgr
  • BOOTNXT
  • BOOTSECT.BAK
  • BOOTSTAT.DAT
  • info.hta
  • ReadMe.txt
  • ReAgent.xml
  • Winre.wim
• It avoids encrypting files in the following drives:
  • A:
  • B:

ランサムウェアの不正活動

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• %System Root%\$RECYCLE.BIN
• %System Root%\$Recycle.Bin
• %System Root%\System Volume Information
• %System%\Documents and Settings
• %System%\Windows

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .[{Volume Serial Number or Processor ID}[].Crypt

マルウェアが作成する以下のファイルは、脅迫状です。

• %User Startup%\info.hta
• {Encrypted File Path}\info.hta
  

マルウェアは、以下の内容を含む脅迫状のテキストファイルを残します。

• {Encrypted File Path}\ReadMe.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .BCD.LOG1
• .BCD.LOG2
• .Crypt
• bootx64.efi

<補足>
その他

マルウェアは、以下を実行します。

• マルウェアは、管理者として実行される必要があります。
  
• 以下のファイル名を持つファイルの暗号化はしません。
  • BlackRoot-Ransomware.exe
  • boot.sdi
  • bootmgr
  • BOOTNXT
  • BOOTSECT.BAK
  • BOOTSTAT.DAT
  • info.hta
  • ReadMe.txt
  • ReAgent.xml
  • Winre.wim
• 以下のドライブ内のファイルの暗号化はしません。
  • A:
  • B: