Ransom.Win64.GODRA.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

特定のファイル拡張子を持つファイルを暗号化します。 身代金要求文書のファイルを作成します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成し実行します。

• %User Temp%\Prijedlog_za_ovrhu_urbr_220-2017.pdf -> contains User ID indicated on the ransom note

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、ファイルをダウンロードします。

• https://www.{BLOCKED}a.online/ovr/a.php

その他

マルウェアは、以下のメッセージボックスを表示します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

ランサムウェアの不正活動

以下の拡張子を持つファイルを暗号化します：$$ DATA $$

• .3g2
• .3gp
• .7zip
• .aep
• .aepx
• .aet
• .aif
• .as3
• .asf
• .asp
• .avi
• .bat
• .cpp
• .dat
• .docb
• .dwg
• .dxb
• .dxf
• .efx
• .eps
• .fdb
• .fla
• .gif
• .gpd
• .html
• .jar
• .java
• .jpeg
• .jpg
• .js
• .lnk
• .m3u
• .m4u
• .mid
• .mkv
• .mp3
• .mp4
• .mpeg
• .obj
• .odp
• .pdf
• .php
• .png
• .pot
• .potm
• .potx
• .ppam
• .pps
• .ppsx
• .ppt
• .pptx
• .ppxm
• .ps1
• .py
• .rtf
• .sav
• .ses
• .sql
• .srf
• .svg
• .vcf
• .vob
• .wav
• .webm
• .wmv
• .xlm
• .xlt
• .xltx
• .xml
• .zip

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• Videos
• Winnt
• Application Data
• Preflogs
• Program Files(x86)
• Program Files
• Program Data
• Temp
• Recycle Bin
• Boot
• Windows

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Directory}\KAKO OTKLJUČATI VAŠE DATOTEKE.log
•