Ransom.Win32.FAKEGLOBE.MRW

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %System Root%\{random values}.tmp.bat → contains commands to delete shadow copies, add and delete registry keys, and delete a file

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\{Malware Name}.exe

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
CertificatesCheck = %Application Data%\{Malware Name}.exe

他のシステム変更

マルウェアは、以下のファイルを削除します。

• %User Profile%\Documents\Default.rdp

(註：%User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。)

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Terminal Server Client\Servers

マルウェアは、以下のレジストリキーを削除します。

HKEY_CURRENT_USER\Software\Microsoft\
Terminal Server Client\Default

HKEY_CURRENT_USER\Software\Microsoft\
Terminal Server Client\Servers

プロセスの終了

マルウェアは、感染コンピュータ上でプロセスが常駐されていることを確認した場合、以下のいずれかの文字列を含むプロセスまたはサービスを終了します。

• outlook
• ssms
• postgre
• excel
• word

ランサムウェアの不正活動

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• Windows
• Microsoft
• Microsoft Help
• Windows App Certification Kit
• Windows Defender
• ESET
• COMODO
• Windows NT
• Windows Kits
• Windows Mail
• Windows Media Player
• Windows Multimedia Platform
• Windows Phone Kits
• Windows Phone Silverlight Kits
• Windows Photo Viewer
• Windows Portable Devices
• Windows Sidebar
• WindowsPowerShell
• NVIDIA Corporation
• Microsoft.NET
• Internet Explorer
• Kaspersky Lab
• McAfee
• Avira
• spytech software
• sysconfig
• Avast
• Dr.Web
• Symantec
• Symantec_Client_Security
• system volume information
• Microsoft Shared
• Common Files
• Outlook Express
• Movie Maker
• Chrome
• Mozilla Firefox
• Opera
• YandexBrowser
• ntldr
• Wsus
• ProgramData

マルウェアは、以下の名称を利用して暗号化されたファイルのファイル名を改称します。

• {file name}.{file extension}.crypted_uridzu@{BLOCKED}ts3as_com

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Folder}\how_to_back_files.html