Ransom.MSIL.INFINITYLOCK.B

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

特定のフォルダ内のファイルを暗号化します。 身代金要求文書のファイルを作成します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

情報漏えい

マルウェアは、以下の情報を収集します。

• Username
• OS Version
• Hardware ID

情報収集

マルウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://arizonacode.{BLOCKED}d.net/rnsm/add.php?type=add&data=InfinityCrypt|{Username}|{Encryption Key}|{OS Version}|{Hardware ID}|{Number of Encrypted Files}

その他

マルウェアは、以下を実行します。

• Due to an error encountered when it is sending the stolen data, it will not be able to perform its ransom note dropping routine.
• It shows the following window after encryption if its information theft routine is successful:
  

ランサムウェアの不正活動

マルウェアは、以下のディレクトリ内で確認されたファイルを暗号化します。

• {Drive Letter except C}:\
• %Public%\Music
• %Public%\Pictures
• %Public%\Videos
• %Public%\Documents
• %User Profile%\Music
• %User Profile%\Pictures
• %User Profile%\Videos
• %User Profile%\Documents
• %User Profile%\Downloads
• %User Profile%\OneDrive
• %Common Programs%
• %Programs%
• %Program Files%\Common Files
• %Program Files%

(註：%Public%フォルダは、すべてのユーザ共通のファイルまたはフォルダのリポジトリとして機能するフォルダです。Windows Vista、7、8の場合、通常 "C:\Users\Public" です。. %User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。. %Common Programs%フォルダは、共通プログラムグループが含まれるフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\All Users\Start Menu\Programs" です。また、Windows Vista、7、8の場合、通常 "C:\ProgramData\Microsoft\Windows\Start Menu\Programs" です。. %Programs%フォルダは、ユーザのプログラムグループが含まれるフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Windows\Start Menu\Programs" または "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs" です。または、Windows Vista、7、8の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs" です。. %Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。)

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• .lnk
• desktop.ini

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .{Hardware ID}

マルウェアが作成する以下のファイルは、脅迫状です。

• %Desktop%\InfinityLock_Recover_Instructions.txt
  
• %Desktop%\InfinityLock_UniqeID.txt
  
• %Desktop%\InfinityLock_Recover_Instructions.png