Ransom.Win32.VHDLOCKER.B

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• {Local Drive Letter}\HowToDecrypt.txt
• %Desktop%\HowToDecrypt.txt
• %System%\Czuw.pIs

(註：%Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\Desktop" です。. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、以下のプロセスを追加します。

• sc stop "Microsoft Exchange Active Directory Topology"
• sc stop "Microsoft Exchange Anti-spam Update"
• sc stop "Microsoft Exchange Compliance Audit"
• sc stop "Microsoft Exchange Compliance Service"
• sc stop "Microsoft Exchange DAG Management"
• sc stop "Microsoft Exchange Diagnostics"
• sc stop "Microsoft Exchange EdgeSync"
• sc stop "Microsoft Exchange Frontend Transport"
• sc stop "Microsoft Exchange Health Manager"
• sc stop "Microsoft Exchange Health Manager Recovery"
• sc stop "Microsoft Exchange IMAP4"
• sc stop "Microsoft Exchange IMAP$ Backend"
• sc stop "Microsoft Exchange Exchange Information Store"
• sc stop "Microsoft Exchange Mailbox Assistants"
• sc stop "Microsoft Exchange Mailbox Replication"
• sc stop "Microsoft Exchange Mailbox Transport Delivery"
• sc stop "Microsoft Exchange POP3"
• sc stop "Microsoft Exchange POP3 Backend"
• sc stop "SQL Server Agent (TESTINSTANCE)"
• sc stop "SQL Server (TESTINSTANCE)"

ランサムウェアの不正活動

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .vhd

マルウェアが作成する以下のファイルは、脅迫状です。

• {Local Drive Letter}\HowToDecrypt.txt
• %Desktop%\HowToDecrypt.txt

(註：%Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\Desktop" です。)