Ransom.Win32.ASSIST.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、実行後、自身を削除します。

以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• cmd.exe /C rd /q /s "%systemdrive%\$Recycle.bin"
• cmd.exe /C ping 1.1.1.1 -n 1 -w 3000 > Nul & Del /f /q "{Malware Path}\{Malware Filename}.exe"

マルウェアは、実行後、自身を削除します。

プロセスの終了

マルウェアは、感染コンピュータ上でプロセスが常駐されていることを確認した場合、以下のいずれかの文字列を含むプロセスまたはサービスを終了します。

• Process Strings:
  • adobe
  • apache
  • chrome
  • datab
  • excel
  • exchan
  • firefox
  • httpd
  • iis
  • intuit
  • msas
  • msmp
  • msse
  • node
  • office
  • outlook
  • qbcf
  • qbdb
  • qbid
  • qbook
  • qbu
  • qbw
  • quickb
  • radmin
  • scan
  • sense
  • skype
  • sql
  • thebat
  • tomcat
  • w3wp
  • word

その他

マルウェアは、以下を実行します。

• It requires to be executed with admin privileges to proceed with its malicious routine
• It empties the Recycle Bin
• It affects all fixed, remote, and removable drives in the system

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• desktop.ini
• NTUSER.DAT

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• %Windows%

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• {Original Filename}.{Original Extension}.assist

マルウェアは、以下の内容を含む脅迫状のテキストファイルを残します。

• %System Root%\ASSIST-README.txt
• {Encrypted Directory}\ASSIST-README.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .assist
• .bat
• .cmd
• .cpl
• .dll
• .idx
• .log
• .msc
• .msp
• .ocx
• .prf
• .scr
• .sys