Ransom.PS1.LOKSYX.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

特定のファイル拡張子を持つファイルを暗号化します。 特定のフォルダ内のファイルを暗号化します。 身代金要求文書のファイルを作成します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• powershell.exe -executionpolicy bypass -win hidden -c echo I Am Running
• %Windows%\Microsoft.NET\Framework\v4.0.30319\csc.exe" /noconfig /fullpaths @"%User Temp%\{Random Alphanumeric Characters}.cmdline
• %Windows%\Microsoft.NET\Framework\v4.0.30319\cvtres.exe /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%User Temp%\{Random Alphanumeric Characters}.tmp" "%User Temp%\{Random Alphanumeric Characters}.TMP"

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

他のシステム変更

マルウェアは、以下のレジストリ値を変更し、デスクトップの壁紙を変更します。

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %User Temp%\image_cg.jpg

(註：変更前の上記レジストリ値は、「{Default wallpaper image}」となります。)

マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。

ダウンロード活動

マルウェアは、以下のURLからファイルをダウンロードします。マルウェアは、ファイルが感染コンピュータ内に保存されると、ファイル名を変更します。

• https://i.i{BLOCKED}6.png

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\image_cg.jpg

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

ランサムウェアの不正活動

以下の拡張子を持つファイルを暗号化します：$$ DATA $$

• .3g2
• .3gp
• .7z
• .ai
• .aif
• .apk
• .arj
• .asp
• .aspx
• .avi
• .bak
• .bat
• .bin
• .bin
• .bmp
• .c
• .cab
• .cda
• .cer
• .cfg
• .cfm
• .cgi
• .cgi
• .class
• .cmd
• .com
• .cpl
• .cpp
• .cs
• .css
• .csv
• .cur
• .dat
• .db
• .dbf
• .deb
• .dll
• .dmg
• .dmp
• .doc
• .docx
• .drv
• .email
• .eml
• .emlx
• .exe
• .flv
• .fnt
• .fon
• .gadget
• .gif
• .gz
• .h
• .h264
• .htm
• .html
• .icns
• .ico
• .icoini
• .iso
• .jar
• .java
• .jpeg
• .jpg
• .js
• .jsp
• .key
• .lnk
• .log
• .m4v
• .mdb
• .mid
• .midi
• .mkv
• .mov
• .mp3
• .mp4
• .mpa
• .mpeg
• .mpg
• .msg
• .msi
• .msi
• .nvram
• .odp
• .ods
• .odt
• .oft
• .ogg
• .ost
• .otf
• .part
• .pdf
• .php
• .pkg
• .pl
• .pl
• .pl
• .png
• .pps
• .ppt
• .pptx
• .ps
• .ps1
• .psd
• .pst
• .py
• .py
• .rar
• .rm
• .rpm
• .rss
• .rtf
• .sav
• .sh
• .sql
• .svg
• .swf
• .swift
• .sys
• .tar
• .tar
• .tex
• .tif
• .tiff
• .tmp
• .toas
• .ttf
• .txt
• .vb
• .vbox
• .vbs
• .vcd
• .vcf
• .vmdk
• .vmsd
• .vmx
• .vmxf
• .vob
• .wav
• .wma
• .wmv
• .wpd
• .wpl
• .wsf
• .xhtml
• .xls
• .xlsm
• .xlsx
• .xml
• .z
• .zip

マルウェアは、以下のディレクトリ内で確認されたファイルを暗号化します。

• %User Profile% → including subdirectories
• Drive Letters A-Z → including subdirectories

(註：%User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。)

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• ..LOCKSYSTEM

マルウェアが作成する以下のファイルは、脅迫状です。

• %Desktop%\Read_Me_Encrypted.txt
  

<補足>
インストール

マルウェアは、以下のプロセスを追加します。

• powershell.exe -executionpolicy bypass -win hidden -c echo I Am Running
• %Windows%\Microsoft.NET\Framework\v4.0.30319\csc.exe" /noconfig /fullpaths @"%User Temp%\{ランダムな英数字}.cmdline
• %Windows%\Microsoft.NET\Framework\v4.0.30319\cvtres.exe /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%User Temp%\{ランダムな英数字}.tmp" "%User Temp%\{ランダムな英数字}.TMP"

ランサムウェアの不正活動

マルウェアは、以下のディレクトリ内で確認されたファイルを暗号化します。

• %User Profile% → サブディレクトリを含む
• ドライブ文字がAからZまでのドライブ → サブディレクトリを含む