Ransom.Win32.TRIGONA.YMDBJ

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• "%System%\mshta.exe" "%User Temp%\how_to_decrypt.hta"

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• 4E8F43A8-15C1-803C2BEC → derived from computer name

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{Generated ID 1} = {malware file path}\{malware name}.exe

情報漏えい

マルウェアは、以下の情報を収集します。

• OS Version
• Available disk drives
• Free disk space on all available drives
• Keyboard Layout
• System Locale
• Username
• Computer Name
• Network Configuration Information

その他

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{Generated ID 2} = %User Temp%\how_to_decrypt.hta

マルウェアは、以下を実行します。

• By default, It encrypts local drives and network drives.
• It displays its ransom note after encryption.

マルウェアは、以下のパラメータを受け取ります。

• /r → Allows the encryption of files in a random order
• /full → Encrypt the whole content of the target file (if not used, only the first 0x80000 bytes/512kb are encrypted)
• /erase → Deletes the content of the target files.
• /!autorun → Does not create the autorun registry entry.
• /is_testing → For testing purposes, used with /test_cid and /test_vid
• /test_cid → Uses the specified Computer ID instead of generating one
• /test_vid → Uses the specified Victim ID instead of the one in the configurations
• /p → Specifies the path to encrypt
• /path → Specifies the path to encrypt
• /!local → Avoids encrypting local files
• /!lan → Avoids encrypting network shares
• /shdwn →Forces shutdown of the machine after encryption
• /autorun_only → Create Autorun registry entry

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• how_to_decrypt.hta
• how_to_decrypt.txt

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• Windows
• System32

マルウェアは、以下の名称を利用して暗号化されたファイルのファイル名を改称します。

• available_for_trial.{random}.{random}._locked
• {random}.{random}._locked

マルウェアが作成する以下のファイルは、脅迫状です。

• %User Temp%\how_to_decrypt.hta
• {Encrypted Directory}\how_to_decrypt.hta
• {Drive Letter}\how_to_decrypt.hta