Ransom.Win32.PARADISE.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• %Windows%\sysnative\vssadmin.exe delete shadows /all /quiet
• cmd.exe "ping 127.0.0.1 && del {Malware Name}.exe
• C:\Windows\System32\mshta.exe %User Startup%\{random characters}.hta
  

プロセスの終了

マルウェアは、感染コンピュータ上でプロセスが常駐されていることを確認した場合、以下のいずれかの文字列を含むプロセスまたはサービスを終了します。

• mysql
• IBM
• bes10
• black
• sql
• store.exe
• vee
• postg
• sage
• ShadowProtectSvc
• SPAdminV4
• SPTimerV4
• SPTraceV4
• SPUserCodeV4
• SPWriterV4
• SPSearch4
• firebirdguardiandefaultinstance
• Simply Accounting Database Connection Manager
• ibmiasrw
• QBPOSDBServiceV12
• QBCFMonitorService
• QBVSS
• mr2kserv
• WinDefend
• MSExchangeADTopology
• SQLWriter
• ReportServer$ISARS
• SQLBrowser
• IISADMIN
• IBM Domino Server (CProgramFilesIBMDominodata)
• MSExchangeSA
• MSExchangeIS
• IBM Domino Diagnostics (CProgramFilesIBMDomino)
• QuickBooksDB25
• QuickBooksDB24
• QuickBooksDB23
• QuickBooksDB22
• QuickBooksDB21
• QuickBooksDB20
• QuickBooksDB19
• QuickBooksDB18
• QuickBooksDB17
• QuickBooksDB16
• QuickBooksDB15
• QuickBooksDB14
• QuickBooksDB13
• QuickBooksDB12
• QuickBooksDB11
• QuickBooksDB10
• QuickBooksDB9
• QuickBooksDB8
• QuickBooksDB7
• QuickBooksDB6
• QuickBooksDB5
• QuickBooksDB4
• QuickBooksDB3
• QuickBooksDB2
• QuickBooksDB1
• MSExchangeFBA
• SQLAgent$MSFW
• SQLAgent$ISARS
• MSSQL$MSFW
• MSSQL$ISARS
• MSSQLServerADHelper100

作成活動

マルウェアは、以下のファイルを作成します。

• %Application Data%\parid.bin - contains unique code
• %User Startup%\{random characters}.hta
• %User Startup%\{random characters}.exe

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %User Startup%フォルダは、現在ログオンしているユーザのスタートアップフォルダです。Windows 98およびMEの場合、通常 "C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows NTの場合、通常 "C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows XPの場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• {BLOCKED}er.org/{random characters}

ただし、情報公開日現在、このWebサイトにはアクセスできません。

ランサムウェアの不正活動

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• Windows
• $Recycle Bin
• System Volume Information
• Program Files
• Program Files(x86)

マルウェアは、以下の名称を利用して暗号化されたファイルのファイル名を改称します。

• {encrypted file}{unique code}{{BLOCKED}t@p-security.li}.exploit

マルウェアが作成する以下のファイルは、脅迫状です。

• {all folders encrypted}\Instructions with your files.txt