Ransom.MSIL.TENCRYPT.RGN

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Readme = {Malware File Path}\{Malware File Name}

他のシステム変更

マルウェアは、インストールの過程で以下のレジストリ値を追加します。

HKEY_CURRENT_USER\SOFTWARE
{Username} =

マルウェアは、以下のレジストリ値を変更し、デスクトップの壁紙を変更します。

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %User Temp%\{9 Random Characters}.jpg

マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。

• %User Temp%\{9 Random Characters}.jpg
  

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• agntsvc
• CNTAoSMgr
• code
• dbeng50
• dbsnmp
• encsvc
• excel
• firefoxconfig
• infopath
• isqlplussvc
• mbamtray
• msaccess
• msftesql
• mspub
• mydesktopqos
• mydesktopservice
• mysqld
• mysqld-nt
• mysqld-opt
• Ntrtscan
• ocautoupds
• ocomm
• ocssd
• onenote
• oracle
• outlook
• PccNTMon
• powerpnt
• ProcessHacker
• sqbcoreservice
• sqlagent
• sqlbrowser
• sqlservr
• sqlwriter
• steam
• synctime
• tbirdconfig
• thebat
• thebat64
• thunderbird
• tmlisten
• VBoxSVC
• VirtualBoxVM
• visio
• vmplayer
• winword
• wordpad
• wps
• xfssvccon
• zoolz

その他

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• .0
• .1
• .1c
• .1cd
• .2
• .3ds
• .3fr
• .3g2
• .3gp
• .7z
• .7zip
• .accda
• .accdb
• .accdc
• .accde
• .accdr
• .accdt
• .accdw
• .ace
• .adp
• .ai
• .ai3
• .ai4
• .ai5
• .ai6
• .ai7
• .ai8
• .amv
• .apk
• .arj
• .arw
• .ascx
• .asm
• .asmx
• .asp
• .aspx
• .avhd
• .avi
• .avs
• .backup
• .bak
• .bay
• .bex
• .bin
• .bk
• .bkf
• .bkpi
• .blob
• .bmp
• .bson
• .bz
• .bz2
• .c
• .cab
• .cer
• .cfg
• .cfm
• .ckp
• .config
• .contact
• .core
• .cpp
• .crt
• .cs
• .css
• .csv
• .ctl
• .cub
• .cvs
• .dacpac
• .dae
• .dat
• .db
• .db2
• .db3
• .dbc
• .dbf
• .dbs
• .dbt
• .dbv
• .dbx
• .dc3
• .dcm
• .dcr
• .dib
• .dic
• .dif
• .divx
• .djvu
• .dmg
• .dmp
• .doc
• .docm
• .docx
• .dot
• .dotx
• .dss
• .dt
• .dump
• .dwg
• .dwt
• .epsp
• .espd
• .espx
• .exif
• .exr
• .f4v
• .fbk
• .fdb
• .flac
• .flv
• .frm
• .gdb
• .geo
• .ghs
• .gif
• .gz
• .gzip
• .hbk
• .hcl
• .heic
• .htm
• .html
• .ib
• .ibank
• .ibd
• .ico
• .iff
• .iges
• .igs
• .inc
• .indd
• .ini
• .iso
• .jar
• .java
• .jdb
• .jpe
• .jpeg
• .jpg
• .js
• .json
• .jsp
• .key
• .kmz
• .kwm
• .ldf
• .lnk
• .log
• .lz4
• .lzh
• .lzma
• .lzo
• .m1v
• .m4a
• .m4p
• .m4v
• .mat
• .max
• .mbf
• .mda
• .mdb
• .mde
• .mdf
• .mdw
• .mht
• .mhtml
• .mka
• .mkv
• .mny
• .mov
• .mp3
• .mp4
• .mpeg
• .mpg
• .mpv
• .mrg
• .msg
• .mwb
• .myd
• .myi
• .nd
• .ndf
• .nef
• .nrw
• .nvram
• .obj
• .odc
• .odm
• .odoo
• .odp
• .ods
• .odt
• .oft
• .onepkg
• .onetoc2
• .opt
• .oqy
• .orf
• .ova
• .ovf
• .p12
• .p7b
• .p7c
• .pam
• .pas
• .pdb
• .pdf
• .pfx
• .php
• .pict
• .pl
• .pls
• .png
• .pot
• .potm
• .potx
• .ppam
• .pps
• .ppsm
• .ppt
• .pptm
• .pptx
• .ps
• .psb
• .psd
• .pst
• .py
• .qbb
• .qbm
• .qbw
• .qcow
• .qcow2
• .qic
• .qnap
• .qry
• .r3d
• .rar
• .raw
• .rb
• .rdb
• .rgbe
• .rpd
• .rss
• .rtf
• .safe
• .sai
• .saj
• .sap
• .sav
• .sci
• .sdb
• .sdf
• .settings
• .shp
• .sie
• .slk
• .sln
• .snapshot
• .spk
• .sql
• .sqlite
• .sqlite3
• .st
• .step
• .stm
• .stp
• .sum
• .svg
• .svgz
• .swf
• .swift
• .sync
• .tab
• .tar
• .tar.gz
• .tar.xz
• .tbi
• .tgz
• .tif
• .tlg
• .tmd
• .torrent
• .txt
• .txz
• .udl
• .udp
• .udx
• .uxdc
• .vb
• .vbk
• .vbm
• .vbox
• .vbr
• .vbs
• .vdi
• .vhd
• .vhdx
• .vib
• .vmdk
• .vmx
• .vob
• .vrb
• .vsdx
• .vss
• .wallet
• .wav
• .wdb
• .webm
• .wim
• .wma
• .wmf
• .wmv
• .wpd
• .wps
• .xhtml
• .xla
• .xlam
• .xlk
• .xlm
• .xls
• .xlsb
• .xlsm
• .xlsx
• .xlt
• .xltm
• .xltx
• .xlw
• .xml
• .xps
• .xql
• .xsd
• .xsf
• .xsl
• .xslt
• .xsn
• .xtp2
• .xz
• .z
• .zip
• .zipx

マルウェアは、以下を実行します。

• It checks if the size of the file to encypt is less than or greater than 524,288 bytes
  • If it is less than 524,288 bytes, it will encrypt the whole file.
  • If it is greater than 524,288 bytes, it will use intermittent encryption - First 131,072 bytes, another 131,072 bytes from the middle of the file, and the last 131,072 bytes
• If the current clipboard content is a Bitcoin address, it replaces it with its own hardcoded Bitcoin address.
• It avoids encrypting files with the following file names:
  • boot.ini
  • bootfont.bin
  • bootmgfw.efi
  • bootmgr
  • bootmgr.efi
  • desktop.ini
  • iconcache.db
  • ntuser.dat
  • ntuser.ini
  • Readme.txt
  • thumbs.db

ランサムウェアの不正活動

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• %System Root%\windows.old
• %System Root%\windows.old.old
• %System Root%\amd
• %System Root%\nvidia
• %System Root%\program files
• %System Root%\program files (x86)
• %System Root%\windows
• %System Root%\$recycle.bin
• %System Root%\documents and settings
• %System Root%\intel
• %System Root%\perflogs
• %System Root%\programdata
• %System Root%\boot
• %System Root%\games
• %System Root%\msocache

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .{5 Random Alphanumeric Characters}

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted File Path}\Readme.txt