Ransom.Win32.NOESCAPE.B

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、実行後、自身を削除します。

マルウェアは、特定のフォルダ内にあるファイルを削除します。これにより、該当プログラムおよびアプリケーションが正しく実行されなくなります。

身代金要求文書のファイルを作成します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %ProgramData%\Microsoft\User Account Pictures\user-192.png
• %ProgramData%\Microsoft\User Account Pictures\user-32.png
• %ProgramData%\Microsoft\User Account Pictures\user-40.png
• %ProgramData%\Microsoft\User Account Pictures\user-48.png
• %ProgramData%\Microsoft\User Account Pictures\user.bmp
• %ProgramData%\Microsoft\User Account Pictures\user.png
• %AppDataLocal%\noescape.png

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 . %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Windows%\winnt32.exe

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、実行後、自身を削除します。

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Mutex Name: processLimit

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Userinit = %System%\userinit.exe, %Windows%\winnt32.exe

HKEY_CLASSES_ROOT\exefile\SHELL\
runas\command
(Default) = %Windows%\winnt32.exe "%1" %*

HKEY_CLASSES_ROOT\exefile\SHELL\
OPEN\command
(Default) = %Windows%\winnt32.exe "%1" %*

他のシステム変更

マルウェアは、以下のフォルダ内にあるファイルを削除します。

• %ProgramData%\Microsoft\User Account Pictures
• %Desktop%
• %Public%\Desktop

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 . %Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\Desktop" です。. %Public%フォルダは、すべてのユーザ共通のファイルまたはフォルダのリポジトリとして機能するフォルダです。Windows Vista、7、8の場合、通常 "C:\Users\Public" です。)

マルウェアは、以下のレジストリキーを変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
AutoAdminLogon = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
shutdownwithoutlogon = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
UseDefaultTile = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Windows\System
DisableLogonBackgroundImage = 1

HKEY_CURRENT_USER\Control Panel\Mouse
SwapMouseButtons = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
EnableLUA = 0

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableRegistryTools = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
DisableCAD = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
AutoRestartShell = 0

HKEY_CURRENT_USER\Control Panel\Desktop
AutoColorization = 1

HKEY_CURRENT_USER\SOFTWARE\Policies\
Microsoft\Windows\System
DisableCMD = 2

HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Control\Keyboard Layout
Scancode Map = {disabled all keys except: e, t, y, o, a, s, d, h, space, enter}

マルウェアは、以下のレジストリ値を変更し、デスクトップの壁紙を変更します。

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %AppDataLocal%\noescape.png

マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。

• %AppDataLocal%\noescape.png
  

その他

マルウェアは、以下を実行します。

• Add local accounts to the local group:
  • Administrator
  • Users
• Create accounts in local group Administrator with a random symbols as username.
• Change the name of the current username to:
  • NO ESCAPE
• Change the password of the current user to:
  • death
• It only executes or run in Windows NT 10.0 OS.
• Prompts an error message box if not executed in Windows NT 10.0
  
• Disable Ctrl+Alt+Del security sequence
• Disable shutdown button
• Disable Sign-in Screen Background Image
• Disable some keyboard keys
• Swap mouse button
• Disables User Account Control
• Disable Window registry editor
• Disable Command Prompt
• Change wallpaper
• Disable auto restart when interface or components failed
• Automatically pick a color from desktop background colors
• Enable automatic logon
• Restart the infected machine after execution

ランサムウェアの不正活動

マルウェアが作成する以下のファイルは、脅迫状です。

• %Public%\Desktop\{random symbols}