Ransom.Win32.DOGECRYPT.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Application Data%\AppData\Roaming\Microsoft\Crypto\RSA\{User ID}
• %System Root%\desucryptKeyContainer.info
• %System Root%\DOGECRYPTinfo.jpg - used as wallpaper

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

マルウェアは、以下のプロセスを追加します。

• cmd.exe / c vssadmin delete shadows / all / quiet & wmic shadowcopy delete & bcdedit / set{ default } bootstatuspolicy ignoreallfailures & bcdedit / set{ default } recoveryenabled no & wbadmin delete catalog - quiet

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer
GlobalAssocChangedCounter = 36

マルウェアは、以下のレジストリ値を変更し、デスクトップの壁紙を変更します。

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %System Root%\DOGECRYPTinfo.jpg

マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。

その他

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• 123
• 3dm
• 3ds
• 3g2
• 3gp
• 602
• 7z
• accdb
• aes
• ai
• ARC
• asc
• asf
• asm
• asp
• avi
• backup
• bak
• bat
• bmp
• brd
• bz2
• c
• cgm
• class
• cmd
• cpp
• crt
• cs
• csr
• css
• csv
• dat
• db
• dbf
• dch
• der
• dif
• dip
• djvu
• doc
• docb
• docm
• docx
• dot
• dotm
• dotx
• dwg
• edb
• eml
• fla
• flv
• frm
• gif
• gpg
• gz
• h
• html
• hwp
• ibd
• IMG
• iso
• jar
• java
• jpeg
• jpg
• js
• jsp
• key
• lay
• lay6
• ldf
• m3u
• m4u
• max
• mdb
• mdf
• mid
• mkv
• mlm
• mov
• mp3
• mp4
• mpeg
• mpg
• msg
• myd
• myi
• nef
• odb
• odg
• odp
• ods
• odt
• onetoc2
• ost
• otg
• otp
• ots
• ott
• p12
• PAQ
• pas
• pdf
• pem
• pfx
• php
• pl
• png
• pot
• potm
• potx
• ppam
• pps
• ppsm
• ppsx
• ppt
• pptm
• pptx
• ps1
• psd
• pst
• py
• rar
• raw
• rb
• rtf
• sch
• sh
• sldm
• sldx
• slk
• sln
• snt
• sql
• sqlite3
• sqlitedb
• stc
• std
• sti
• stw
• suo
• svg
• swf
• sxc
• sxd
• sxi
• sxm
• sxw
• tar
• tbk
• tgz
• tif
• tiff
• txt
• uop
• uot
• vb
• vbs
• vcd
• vdi
• vmdk
• vmx
• vob
• vsd
• vsdx
• wav
• wb2
• wk1
• wks
• wma
• wmv
• xlc
• xlm
• xls
• xlsb
• xlsm
• xlsx
• xlt
• xltm
• xltx
• xlw
• zip

ランサムウェアの不正活動

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• Default
• All Users
• Content.IE5
• Temporary Internet Files
• Local Settings
• AppData
• Program Files (x86)
• Program Files
• Windows
• Microsoft
• Program Data
• ProgramData
• Intel
• $Recycle.Bin

マルウェアは、以下の名称を利用して暗号化されたファイルのファイル名を改称します。

• {Encrypted directory}\{original filename}.{original extension}.[{BLOCKED}membersss@{BLOCKED}mail.ch].DogeCrypt

マルウェアは、以下の内容を含む脅迫状のテキストファイルを残します。

• %Public%\Desktop\note.txt