Ransom.Win32.THUNDERCRYPT.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

身代金要求文書のファイルを作成します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Temp%\MoUsoCoreWorker.exe
• %Windows%\dws.exe

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、以下のファイルを作成します。

• %Windows%\tWjdf.js → Contains script to use SpVoice Interface functionality.

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、以下のプロセスを追加します。

• %User Temp%\MoUsoCoreWorker.exe"
• Using "%System%\wbem\WMIC.exe" process call create {Command String}":
  • sc create "service_123" binpath= "cmd.exe /k %Windows%\dws.exe & {Long String of Characters}" displayname="A" start= auto
  • cmd.exe /c WMIC.exe shadowcopy delete /nointeractive & bcdedit.exe /set {default} recoveryenabled no & bcdedit.exe /set {default} bootstatuspolicy ignoreallfailures
  • cmd.exe /c wevtutil cl "security"&wevtutil cl "windows powershell"&wevtutil cl "security"&wevtutil cl "Application"&wevtutil cl HardwareEvents"&wevtutil cl "System"&wevtutil cl "Setup"&wevtutil cl "Setup"
  • cmd.exe/c schtasks /Create /F /Ru Users /SC DAILY /TN voise /TR "%Windows%\tWjdf.js"
  • cmd.exe /c schtasks /Run /TN voise
• %System%\cmd.exe /c wmic /node:'0.0.0.0' /USER:'{Domain}.net\Administrator' /PASSWORD:'{Password}' process call create "cmd.exe /c schtasks /Create /F /RU System /SC ONLOGON /TN sz40 /TR '\{Domain}.net\NETLOGON\sinhost.exe' & SCHTASKS /run /TN sz40&SCHTASKS /Delete /TN sz40 /F"

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• {Organization Name}

自動実行方法

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\service_123

情報漏えい

マルウェアは、以下の情報を収集します。

• Computer Name

その他

マルウェアは、以下を実行します。

• It only proceeds to its encryption routine if its filename is MoUsoCoreWorker.exe.
• It encrypts FIXED, REMOVABLE, and NETWORK Drives.
• It appends the extension .sz40 to the file that it is currently encrypting and will rename the file back to its original filename without the appended extension after the encrytion has finished.
• It uses SpVoice Interface functionality to play the following message:
  • You've been hacked! Your files are stolen and encrypted. Follow our instructions!
• It creates a one time remote scheduled task to execute its copy.
• It sends the information it gathers to the following URL:
  • {BLOCKED}.{BLOCKED}.251.27:55

ただし、情報公開日現在、このWebサイトにはアクセスできません。

以下のスケジュールされたタスクを追加します：

• Task Name: voise
  Trigger: Daily
  Task Action: %Windows%\tWjdf.js
• Task Name: sz40
  Trigger: ONLOGON
  Task Action: \{Domain}.net\NETLOGON\sinhost.exe

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

ランサムウェアの不正活動

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• $Recycle.Bin
• All Users
• Local
• Microsoft
• Packages
• Program Files
• Program Files (x86)
• ProgramData
• Temp
• WINDOWS
• Windows

マルウェアが作成する以下のファイルは、脅迫状です。

• %Desktop%\HELP_SECURITY_EVENT.html
  %Desktop%\{Encrypted Directory}\HELP_SECURITY_EVENT.html