Ransom.Win32.AVADDON.YJAF-A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 マルウェアは、リモートサイトから他のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

特定のフォルダ内のファイルを暗号化します。 身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、リモートサイトから以下のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

• Trojan.JS.AVADDON.YJAF-A

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\{malware filename}.exe

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のプロセスを追加します。

• wmic.exe SHADOWCOPY /nointeractive
• wbadmin DELETE SYSTEMSTATEBACKUP
• wbadmin DELETE SYSTEMSTATEBACKUP -deleteOldest
• bcdedit.exe /set {default} recoveryenabled No
• bcdedit.exe /set {default} bootstatuspolicy ignoreallfailures
• vssadmin.exe Delete Shadows /All /Quiet

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
update = %Application Data%\{malware filename}.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
update = %Application Data%\{malware filename}.exe

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000
Owner = {HEX VALUES}

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000
SessionHash = {HEX VALUES}

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000
Sequence = {VALUE}

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000
RegFiles0000 = {Target File Name}

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000
RegFilesHash = {Hex Values}

マルウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
EnableLUA = 0

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
EnableLinkedConnections = 1

(註：変更前の上記レジストリ値は、「None」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
ConsentPromptBehaviorAdmin = 0

(註：変更前の上記レジストリ値は、「5」となります。)

マルウェアは、以下のレジストリ値を変更し、デスクトップの壁紙を変更します。

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %User Profile%\bckgrd.bmp

マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。

プロセスの終了

マルウェアは、感染コンピュータ上で確認した以下のサービスを終了します。

• ccEvtMgr
• ccSetMgr
• Culserver
• dbeng8
• dbsrv12
• DefWatch
• Intuit.QuickBooks.FCS
• msmdsrv
• QBCFMonitorService
• QBIDPService
• RTVscan
• sqladhlp
• SQLADHLP
• sqlagent
• sqlbrowser
• sqlservr
• sqlwriter
• tomcat6
• VMAuthdService
• VMnetDHCP
• VMUSBArbService
• vmware-converter
• VMwareHostd
• vmware-usbarbitator64

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• 360doctor.exe
• 360se.exe
• axlbridge.exe
• BCFMonitorService.exe
• Culture.exe
• Defwatch.exe
• fdhost.exe
• fdlauncher.exe
• GDscan.exe
• httpd.exe
• java.exe
• MsDtSrvr.exe
• QBDBMgr.exe
• QBIDPService.exe
• QBIDPService.exe
• qbupdate.exe
• QBW32.exe
• RAgui.exe
• RTVscan.exe
• sqlbrowser.exe
• sqlservr.exe
• supervise.exe
• tomcat6.exe
• wdswfsafe.exe
• winword.exe
• wxServer.exe
• wxServerView.exe

その他

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0001

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0002

マルウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• api.myip.com

マルウェアは、以下を実行します。

• Terminates itself if Windows Locale ID is equal to the following:
  • 419 = Russian
  • 422 = Ukrainian
• Terminates itself if machine is set to the following keyboard layout language:
  • 419 = Russian
  • 485 = Yakut(Russia)
  • 444 = Tatar
  • 422 = Ukrainian
• This ransomware affects all existing drives in the system

以下のスケジュールされたタスクを追加します：

• Task Name: update
• Task to run: %Application Data%\{Malware Filename}.exe
• Trigger: At {install time} every day - After triggered, repeat every 10 minutes indefinitely

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

ランサムウェアの不正活動

マルウェアは、以下のディレクトリ内で確認されたファイルを暗号化します。

• Program Files\Microsoft\Exchange Server
• Program Files (x86)\Microsoft\Exchange Server
• Program Files\Microsoft SQL Server
• Program Files (x86)\Microsoft SQL Server

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• bckgrd.bmp

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• Windows
• Program Files
• Users\All Users
• %User Temp%
• Program Files (x86)
• %User Profile%\AppData
• ProgramData
• Tor Browser

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。)

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .avdn

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Directory}\{random numbers}-readme.html
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .bin
• .dat
• .dll
• .drv
• .exe
• .ini
• .lnk
• .prf
• .rdp
• .swp
• .sys
• .avdn