Ransom.MSIL.FREEZING.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、以下の方法でコンピュータに侵入します。

• Injected in Powershell.exe process by Trojan.PS1.FREEZING.A

作成活動

マルウェアは、以下のファイルを作成します。

• %ProgramData%\.FreezedByMagic.LOG - contains the following information:
  • Malware Process ID
  • Processor Count
  • Drives to encrypt
  • Total number fo files encrypted
  • Duration of encryption (in seconds and minutes)

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• .exe
• .sys
• .dll
• .msi
• .iso
• .cab
• .ReadMe.txt
• .LOG

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• Windows
• ProgramData
• ProgramFiles
• Boot

マルウェアは、以下の名称を利用して暗号化されたファイルのファイル名を改称します。

• {filename and extension}.Freezing - during encryption
• {filename and extension}.FreezedByWizard - after successful encryption

マルウェアが作成する以下のファイルは、脅迫状です。

• {drive of encrypted files}\.FreezedByWizard.README.TXT

マルウェアは、以下の内容を含む脅迫状のテキストファイルを残します。