Ransom.Win32.FOG.C

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• {Malware File Path}/DbgLog.sys → logs the behavior of the sample upon execution

マルウェアは、以下のプロセスを追加します。

• vssadmin.exe delete shadows /all /quiet

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• 6zErjcpDAekftPiSbEUGHU4dtFwY5adQ

プロセスの終了

マルウェアは、感染コンピュータ上で確認した以下のサービスを終了します。

• Dhcp
• Dnscache
• *sql*

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• notepad.exe
• calc.exe
• *sql*

その他

マルウェアは、以下を実行します。

• It empties the recycle bin of the affected machine.
• It requires to be executed with the key(ID) in order to proceed with its malicious routine:
  • 8mlafY

マルウェアは、以下のパラメータを受け取ります。

• -ID {key}
• -TARGET {path to encrypt}
• -NOMUTEX
• -CONSOLE
• -PROCOFF
• -UNCOFF

ランサムウェアの不正活動

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• tmp
• winnt
• Application Data
• AppData
• temp
• thumb
• $Recycle.Bin
• System Volume Information
• Windows
• Boot

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• {original filename}.{original extension}.flocked

マルウェアが作成する以下のファイルは、脅迫状です。

• {encrypted directory}\readme.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .exe
• .dll
• .lnk
• .sys
• .CONTI

<補足>
インストール

マルウェアは、以下のファイルを作成します。

• {マルウェアのファイルパス}/DbgLog.sys → 実行時のマルウェアの不正活動を記録する

その他

マルウェアは、以下を実行します。

• 影響を受けるコンピュータのごみ箱を空にします。
• マルウェアが自身の不正活動を継続するためには、以下のキー（ID）を用いて実行される必要があります。
  • 8mlafY