Ransom.Win64.LUCIFER.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• %Public%\Music\clear.bat

(註：%Public%フォルダは、すべてのユーザ共通のファイルまたはフォルダのリポジトリとして機能するフォルダです。Windows Vista、7、8の場合、通常 "C:\Users\Public" です。)

他のシステム変更

マルウェアは、以下のファイルを削除します。

• %Public%\us.bat
• %Public%\rdp.bat
• %Public%\2008.exe
• %Public%\ManuxP.exe

(註：%Public%フォルダは、すべてのユーザ共通のファイルまたはフォルダのリポジトリとして機能するフォルダです。Windows Vista、7、8の場合、通常 "C:\Users\Public" です。)

マルウェアは、以下のフォルダを削除します。

• %System Root%\Users\Default\AppData
• %Public%\AppData
• %System Root%\Users\{User name}\AppData
• {Encrypted Drive}:\$Recycle.Bin

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %Public%フォルダは、すべてのユーザ共通のファイルまたはフォルダのリポジトリとして機能するフォルダです。Windows Vista、7、8の場合、通常 "C:\Users\Public" です。)

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• sqlservr.exe
• sqlceip.exe
• sqlwriter.exe
• 0xd.exe

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、ファイルをダウンロードします。

• http://{BLOCKED}.96.204.96/we_are_anon/vid.mp4
• http://{BLOCKED}.96.204.96/we_are_anon/end.exe
• http://{BLOCKED}.96.204.96/we_are_anon/clear.txt

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %Public%\Music\video.mp4
• %Public%\Music\End.exe
• %Public%\Music\clear.bat

(註：%Public%フォルダは、すべてのユーザ共通のファイルまたはフォルダのリポジトリとして機能するフォルダです。Windows Vista、7、8の場合、通常 "C:\Users\Public" です。)

その他

マルウェアは、以下を実行します。

• Renames %System Root% to "Encrypted"
• Renames other encrypted drives to "ENCRYPTED"

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

ランサムウェアの不正活動

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .Id-{10 random characters}.lucifer

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Directory}:\HELP_DECRYPT_YOUR_FILES.html
  

マルウェアは、以下の内容を含む脅迫状のテキストファイルを残します。

• {Encrypted Directory}:\HELP_DECRYPT_YOUR_FILES.txt