Ransom.Win32.POTTIEQ.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Startup%\{GUID}.bmp

(註：%User Startup%フォルダは、現在ログオンしているユーザのスタートアップフォルダです。Windows 98およびMEの場合、通常 "C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows NTの場合、通常 "C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows XPの場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Startup%\{GUID}.exe

(註：%User Startup%フォルダは、現在ログオンしているユーザのスタートアップフォルダです。Windows 98およびMEの場合、通常 "C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows NTの場合、通常 "C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows XPの場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。)

自動実行方法

マルウェアは、作成されたコンポーネントがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{GUID} = "%User Startup%\{GUID}.exe"

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Control Panel\Desktop
{Default} = "%User Startup%\{GUID}.bmp"

マルウェアは、以下のレジストリ値を変更し、デスクトップの壁紙を変更します。

HKEY_CURRENT_USER\Control Panel\Desktop
WallpaperStyle = "0"

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = "%User Startup%\{GUID}.bmp"

マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。

情報収集

マルウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://{BLOCKED}het64.ru/assets/flash/pass/

ランサムウェアの不正活動

マルウェアは、以下の文字列を含むファイルを暗号化します。

• jpg
• jpeg
• doc
• rtf
• xls
• zip
• db3
• rar
• 7z3gp
• cdr
• raw
• cpt
• m2v
• gzip
• docx
• pdf
• odt
• avi
• mkv
• ods
• arj
• cer
• mdb
• csv
• mpeg
• mov
• ppt
• f
• nrw
• nx1
• nbd
• old
• odb
• odc
• sldprt
• wps
• sldasm
• sbs
• p12
• rx2
• rwl
• r3d
• wps
• qic
• odp
• pz3
• ptx
• pst
• txt
• pptm
• pef
• ods
• x3f
• tbl
• tis
• srw
• srf
• sr2
• spf
• sna
• sn1
• gho
• gbk
• iv2i
• keyste
• ldf
• m3d
• max
• fbf
• fdb
• fbk
• fbw
• fbx
• bak
• bkf
• bck
• cf
• erf
• as4
• asm
• asvx
• ate
• bac
• 73b
• a3d
• abf
• abk
• accdb
• 113
• xlsm
• xlsk
• xlsb
• dwg
• tib
• pwm
• wab
• key
• dt
• ppsx
• pptx
• xlsx
• 1cd
• dbf
• mp3
• prproj
• aiiso
• ots
• emlx
• svg
• aep
• pps
• flv
• ofx
• wmv
• vob
• swf
• accdt
• xml
• qif
• mp4
• qt
• xlr
• db
• pdb
• sql
• dxf
• ost
• pab
• msg

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• windows
• program files
• program files (x86)
• programdata
• system volume information
• temp

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .id-{id}-johnycryptor@{BLOCKED}l.com

マルウェアが作成する以下のファイルは、脅迫状です。

• %User Startup%\{GUID}.bmp

(註：%User Startup%フォルダは、現在ログオンしているユーザのスタートアップフォルダです。Windows 98およびMEの場合、通常 "C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows NTの場合、通常 "C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows XPの場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。)