Ransom.Win32.DELSHAD.F

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、実行後、自身を削除します。

身代金要求文書のファイルを作成します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Common Startup%\windows-update-CVE-wFW.exe

(註：%Common Startup%フォルダは、すべてのユーザのスタートアップフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\All Users\Start Menu\Programs\Startup" です。また、Windows Vista、7、8の場合、通常 "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup" です。)

マルウェアは、以下のプロセスを追加します。

• %System%\cmd.exe /C "reg ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /t REG_DWORD /d 0 /f"
• cmd /C vssadmin Delete Shadows /All /Quiet
• cmd /C "rd /s /q {Drive}:\$RECYCLE.BIN\"

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、実行後、自身を削除します。

その他

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• accdb
• adx
• aes
• allg
• allp
• argp=
• array
• asc
• asf
• asm
• asn1
• asp
• avi
• avx
• avx2
• bak
• base
• bat
• bind
• bmi1
• bmi2
• bmp
• bool
• brd
• bz2
• call
• cap
• cas1
• cas2
• cas3
• cas4
• cas5
• cas6
• cgm
• chan
• chdir
• class
• close
• cmd
• cpp
• crt
• csr
• csv
• dbf
• dch
• de-DE
• dead
• defer
• der
• dif
• dip
• dir
• djvu
• doc
• docb
• docm
• docx
• dot
• dotm
• dotx
• dwg
• edb
• eEpP
• eml
• en-US
• end
• erms
• es-ES
• fail
• false
• fault
• file
• fin
• fla
• flv
• fma
• fr-FR
• frm
• ftp
• ftps
• func
• gc
• gcing
• gFree
• gif
• gp
• gpg
• gscan
• hchan
• hour
• hpp
• html
• http
• https
• hwp
• ibd
• icmp
• idle
• igmp
• imap2
• imap3
• imaps
• int
• int16
• int32
• int64
• int8
• ip4
• iso
• it-IT
• itab
• ja-JA
• jar
• java
• jpeg
• jpg
• jsp
• kdb
• key
• keys
• kind
• ko_KR
• lay
• lay6
• ldf
• link
• m3u
• m4u
• map
• match
• max
• mdb
• mdf
• mheap
• mid
• mkv
• mml
• month
• mov
• mp3
• mp4
• mpeg
• mpg
• msg
• myd
• myi
• nan
• nef
• nil
• ntohs
• obj
• odb
• odg
• odp
• ods
• odt
• open
• ost
• otg
• otp
• ots
• ott
• p12
• panic
• pas
• path
• pc=
• pdf
• pem
• pfx
• php
• pipe
• png
• pop3
• pop3s
• pot
• potm
• potx
• ppam
• pps
• ppsm
• ppsx
• ppt
• pptm
• pptx
• prof
• ps1
• psd
• pst
• pt-BR
• ptr
• quit
• rar
• raw
• read
• root
• rtf
• ru
• ru2
• runas
• rune
• sbrk
• scav
• sch
• sched
• sldm
• sldx
• sleep
• slice
• slk
• sln
• smtp
• snt
• spine
• sql
• sse2
• sse3
• sse41
• sse42
• ssh
• ssse3
• stc
• std
• sti
• stw
• sudog
• suo
• svg
• svqxX
• sweep
• swf
• sxc
• sxd
• sxi
• sxm
• sxw
• sync
• tag:
• tar
• tbk
• tcp
• tcp4
• tgz
• tif
• tiff
• tlp
• tmp
• to
• trace
• true
• txt
• udp
• udp4
• uint
• uint8
• uop
• uot
• usage
• vbs
• vcd
• vdi
• vm
• vmdk
• vmx
• vob
• vsd
• vsdx
• wav
• wb2
• wk1
• wks
• wma
• wmv
• write
• xlc
• xlm
• xls
• xlsb
• xlsm
• xlsx
• xlt
• xltm
• xltx
• xlw
• zh-CN
• zh-HK
• zh-TW
• zip

マルウェアは、以下を実行します。

• It renames encrypted as {Base64-encoded original filename}.lockedv1.
• It ensures that it executes with administrative privileges.

ランサムウェアの不正活動

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted directory}\READMEV1.txt
• %Common Startup%\READMEV1.txt