Ransom.PS1.NEDIB.THCBIBD

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

特定のフォルダ内のファイルを暗号化します。 身代金要求文書のファイルを作成します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• "%System%\NOTEPAD.EXE" %Desktop%\README.txt

(註：%Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\Desktop" です。)

他のシステム変更

マルウェアは、以下のレジストリ値を変更し、デスクトップの壁紙を変更します。

HKEY_CURRENT_USER\control panel\desktop
wallpaper = %Temp%\photo.jpg

情報漏えい

マルウェアは、以下の情報を収集します。

• satellite:IP
  • IP address
• bust_in_silhouette: User Information
  • Language
  • Current date and time
  • User Name
  • Computer Name
• shield: Antivirus
  • Installed antivirus software
• computer: Hardware
  • Display resolution
  • OS version
  • OS build
  • Manufacturer
  • Model
  • CPU name
  • GPU name
  • RAM
  • UUID
  • MAC address
  • Uptime
• floppy_disk: Disk
  • All disk information

その他

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• .7z
• .docx
• .gif
• .gz
• .ini
• .jpg
• .pdf
• .psd
• .png
• .rtf
• .txt
• .zip
• .accd
• .avi
• .csv
• .doc
• .jpeg
• .midi
• .mov
• .mp3
• .mp4
• .mpeg
• .mpeg2
• .mpeg3
• .mpg
• .ogg
• .ppt
• .xls

マルウェアは、以下を実行します。

• It deletes all shadow copies on the system.
• It attempts to download from this URL to use as wallpaper
  • https://{BLOCKED}fshore.cat/HrD5nI4Z.cat → %Temp%\photo.jpg

ランサムウェアの不正活動

マルウェアは、以下のディレクトリ内で確認されたファイルを暗号化します。

• %Downloads%

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .biden

マルウェアが作成する以下のファイルは、脅迫状です。

• %Desktop%\README.txt