Ransom.Win64.BLACKKINGDOM.YMBCU

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ユーザのマウスおよびキーボードを無効にします。これにより、ユーザは感染コンピュータ上からこのマルウェアを削除することができなくなります。

身代金要求文書のファイルを作成します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• {Malware Folder}\{Malware Name}.exe
• %System%\cmd.exe /c powershell Get-Service *sql*|Stop-Service -Force 2>$null
• %System%\cmd.exe /c powershell rm (Get-PSReadlineOption).HistorySavePath

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

他のシステム変更

マルウェアは、ユーザのマウスおよびキーボードを無効にします。

その他

マルウェアは、以下を実行します。

• It uploads its generated encryption key to http://m{BLOCKED}a.io with the following credentials:
  • Username: he{BLOCKED}13608@heroulo.com
  • Password: he{BLOCKED}13608@heroulo.com
• It looks for the file {Malware Folder}\target.txt which contains the list of directories it will encrypt. If not found it will start from %System Root%.
• It clears event logs.
• It shows the following window after encryption:
  

ランサムウェアの不正活動

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• %System Root%\ProgramData
• %System Root%\Windows
• %System Root%\Program Files
• %System Root%\Program Files (x86)
• \AppData\Roaming\
• \AppData\LocalLow\
• \AppData\Local\

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .{Random Characters}

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Directory}\decrypt.TxT