Ransom.Win32.HELPYOU.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %AppDataLocal%\{malware filename}.exe

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

マルウェアは、以下のファイルを作成します。

• %Public%\Libraries\{Generated ID} - contains unique identifier of the machine

(註：%Public%フォルダは、すべてのユーザ共通のファイルまたはフォルダのリポジトリとして機能するフォルダです。Windows Vista、7、8の場合、通常 "C:\Users\Public" です。)

マルウェアは、以下のプロセスを追加します。

• %System%\cmd.exe /c vssadmin.exe Delete Shadows /All /Quiet
• reg delete HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Default /va /f
• reg delete HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Servers /f
• reg add HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Servers
• cd %userprofile%\documents\
• attrib Default.rdp -s -h
• del Default.rdp
• for /F tokens=* %1 in ('wevtutil.exe el') DO wevtutil.exe cl %1;

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
LicChk = %AppDataLocal%\{malware filename}.exe

情報漏えい

マルウェアは、以下の情報を収集します。

• Volume Info
• MS Dos Device names
• VolumePathNames

その他

マルウェアは、以下を実行します。

• Encrypts the following drive types:
  • removable
  • fixed
  • network

マルウェアは、以下のパラメータを受け取ります。

• /f - Installs its dropped copy as autorun and deletes original file. Would not encrypt until restart.
• /d

ランサムウェアの不正活動

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• ..
• Mozilla
• Intel
• Temp
• HOW_TO_RECOVERY_FILES.txt
• $RECYCLE.BIN
• .vscode
• AVG
• Avast
• Avira
• COMODO
• Chrome
• Common Files
• Common7
• Dr.Web
• ESET
• Firefox
• InstallShield Installation Information
• Internet Explorer
• Kaspersky Lab
• McAfee
• Microsoft
• Microsoft Help
• Microsoft SDKs
• Microsoft Shared
• Microsoft VS Code
• Microsoft Visual Studio
• Microsoft.NET
• Movie Maker
• Mozilla Firefox
• Reference Assemblies
• NVIDIA Corporation
• Opera
• Outlook Express
• Package Cache
• Packages
• ProgramData
• Spytech software
• Symantec
• Symantec_Client_Security
• System Volume Information
• Windows
• Windows App Certification Kit
• Windows Defender
• Windows Kits
• Windows Mail
• Windows Media Player
• Windows Multimedia Platform
• Windows NT
• Windows Phone Kits
• Windows Phone Silverlight Kits
• Windows Photo Viewer
• Windows Portable Devices
• Windows Sidebar
• Windows Security
• WindowsPowerShell
• WindowsApps
• Wsus
• YandexBrowser
• sysconfig

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .IQ07n

マルウェアは、以下の内容を含む脅迫状のテキストファイルを残します。

• {encrypted directory}\HOW_TO_RECOVERY_FILES.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .msp
• .rom
• .rtp
• .shs
• .mod
• .cur
• .msc
• .nomedia
• .deskthemepack
• .diagcab
• .diagcfg
• .msstyles
• .scr
• .hta
• .idx
• .ics
• .lock
• .diagpkg
• .icns
• .msi
• .themepack
• .bin
• .theme
• .bat
• .cab
• .nls
• .spl
• .icl
• .sys
• .drv
• .lnk
• .cmd
• .adv
• .cpl
• .ico
• .com
• .exe
• .ocx
• .dll
• .hlp
• .mpa
• .prf
• .wpx
• .ani
• .msu
• .ps1
• .386
• .IQ07n