Ransom.Win32.GARYTEST.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• wmic.exe shadowcopy delete /nointeractive
• taskkill /f /im msftesql.exe
• taskkill /f /im sqlagent.exe
• taskkill /f /im sqlbrowser.exe
• taskkill /f /im sqlwriter.exe
• taskkill /f /im oracle.exe
• taskkill /f /im ocssd.exe
• taskkill /f /im dbsnmp.exe
• taskkill /f /im synctime.exe
• taskkill /f /im agntsvc.exeisqlplussvc.exe
• taskkill /f /im xfssvccon.exe
• taskkill /f /im sqlservr.exe
• taskkill /f /im mydesktopservice.exe
• taskkill /f /im ocautoupds.exe
• taskkill /f /im agntsvc.exeagntsvc.exe
• taskkill /f /im agntsvc.exeencsvc.exe
• taskkill /f /im firefoxconfig.exe
• taskkill /f /im tbirdconfig.exe
• taskkill /f /im mydesktopqos.exe
• taskkill /f /im ocomm.exe
• taskkill /f /im mysqld.exe
• taskkill /f /im mysqld-nt.exe
• taskkill /f /im mysqld-opt.exe
• taskkill /f /im dbeng50.exe
• taskkill /f /im sqbcoreservice.exe
• taskkill /f /im excel.exe
• taskkill /f /im infopath.exe
• taskkill /f /im msaccess.exe
• taskkill /f /im mspub.exe
• taskkill /f /im onenote.exe
• taskkill /f /im outlook.exe
• taskkill /f /im powerpnt.exe
• taskkill /f /im steam.exe
• taskkill /f /im sqlservr.exe
• taskkill /f /im thebat.exe
• taskkill /f /im thebat64.exe
• taskkill /f /im thunderbird.exe
• taskkill /f /im visio.exe
• taskkill /f /im winword.exe
• taskkill /f /im wordpad.exe

他のシステム変更

マルウェアは、以下のレジストリ値を変更し、デスクトップの壁紙を変更します。

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %Public%\Desktop\desktop.bmp

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}.{BLOCKED}.64.52/CERA/Captures/ran.asp

ただし、情報公開日現在、このWebサイトにはアクセスできません。

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• desktop.ini
• autorun.inf
• ntuser.dat
• iconcache.db
• bootsect.bak
• ntuser.dat
• thumbs.db
• boot.ini

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• windows
• Local Settings
• Boot
• IE
• ProgramData
• system
• appdata

マルウェアは、以下の内容を含む脅迫状のテキストファイルを残します。

• %Desktop%\readme.txt
• %Public%\Desktop\readme.txt
  
• %Public%\Desktop\desktop.bmp -> Sets as desktop wallpaper
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .ani
• .bat
• .cab
• .CDRom
• .cpl
• .cur
• .diagcab
• .diagpkg
• .dll
• .drv
• .exe
• .hlp
• .icl
• .icns
• .ico
• .ics
• .idx
• .key
• .ldf
• .lnk
• .lock
• .mod
• .mpa
• .msc
• .msi
• .msp
• .msstyles
• .msu
• .nomedia
• .ocx
• .prf
• .rom
• .rtp
• .scr
• .shs
• .spl
• .sys
• .theme
• .themepack