Ransom.Win32.RYUK.HUY

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• {Malware Directory}\{random file name}.exe

マルウェアは、以下のプロセスを追加します。

• "{Malware Directory}\{Random Filename}.exe 8 LAN"
• "%System%\net.exe" stop "audioendpointbuilder" /y
• cmd.exe /c "WMIC.exe shadowcopy delete"
• cmd.exe /c "vssadmin.exe Delete Shadows /all /quiet"
• cmd.exe /c "bcdedit /set {default} recoveryenabled No & bcdedit /set {default}"
• cmd.exe /c "bootstatuspolicy ignoreallfailures"
• icacls "A:\*" /grant Everyone:F /T /C /Qÿ
• icacls "C:\*" /grant Everyone:F /T /C /Qÿ
• icacls "D:\*" /grant Everyone:F /T /C /Qÿ
• icacls "E:\*" /grant Everyone:F /T /C /Qÿ
• icacls "F:\*" /grant Everyone:F /T /C /Qÿ
• icacls "G:\*" /grant Everyone:F /T /C /Qÿ
• "%System%\net.exe" stop "samss" /y
• "%System%\net.exe" stop "audioendpointbuilder" /y
• "%System%\net.exe" stop "samss" /y
• "%System%\net.exe" stop "ui0detect" /y
• "%System%\net.exe" stop "ui0detect" /y

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

ランサムウェアの不正活動

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .RYK

マルウェアが作成する以下のファイルは、脅迫状です。

• {folder of encrypted files}\RyukReadMe.html