RANSOM_FAKEGLOBE.ENG

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、実行後、自身を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\_t{random value}.tmp.bat ← used to execute commands
• {malware directory}\.bat ← used to delete self
• %System Root%\Users\Public\{e29ac6c0-7037-11de-816d-806e6f6e6963}

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
CertificatesCheck = %System Root%\Users\Public\{malware file name}

他のシステム変更

マルウェアは、以下のファイルを削除します。

• %User Profile%\Documents\Default.rdp

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.)

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Terminal Server Client\Servers

マルウェアは、以下のレジストリキーを削除します。

HKEY_CURRENT_USER\Software\Microsoft\
Terminal Server Client\Default

HKEY_CURRENT_USER\Software\Microsoft\
Terminal Server Client\Servers

プロセスの終了

マルウェアは、感染コンピュータ上でプロセスが常駐されていることを確認した場合、以下のいずれかの文字列を含むプロセスまたはサービスを終了します。

• sql
• outlook
• smss
• postgre
• 1c
• excel
• word

その他

マルウェアは、実行後、自身を削除します。

ランサムウェアの不正活動

マルウェアは、以下の文字列を含むファイルを暗号化します。

• .$er
• .4db
• .4dd
• .4d
• .4mp
• .abs
• .abx
• .accdb
• .accdc
• .accde
• .accdr
• .accdt
• .accdw
• .accft
• .adn
• .adp
• .aft
• .ahd
• .alf
• .ask
• .awdb
• .azz
• .bdb
• .bib
• .bnd
• .bok
• .btr
• .cdb
• .cdb
• .cdb
• .ckp
• .clkw
• .cma
• .crd
• .daconnections
• .dacpac
• .dad
• .dadiagrams
• .daf
• .daschema
• .db
• .db-shm
• .db-wa
• .db2
• .db3
• .dbc
• .dbf
• .dbf
• .dbk
• .dbs
• .dbt
• .dbv
• .dbx
• .dcb
• .dct
• .dcx
• .dd
• .df1
• .dmo
• .dnc
• .dp1
• .dqy
• .dsk
• .dsn
• .dta
• .dtsx
• .dx
• .eco
• .ecx
• .edb
• .emd
• .eq
• .fcd
• .fdb
• .fic
• .fid
• .fi
• .fm5
• .fmp
• .fmp12
• .fmps
• .fo
• .fp3
• .fp4
• .fp5
• .fp7
• .fpt
• .fzb
• .fzv
• .gdb
• .gwi
• .hdb
• .his
• .ib
• .idc
• .ihx
• .itdb
• .itw
• .jtx
• .kdb
• .lgc
• .maq
• .mdb
• .mdbhtm
• .mdf
• .mdn
• .mdt
• .mrg
• .mud
• .mwb
• .myd
• .ndf
• .ns2
• .ns3
• .ns4
• .nsf
• .nv2
• .nyf
• .oce
• .odb
• .oqy
• .ora
• .orx
• .owc
• .owg
• .oyx
• .p96
• .p97
• .pan
• .pdb
• .pdm
• .phm
• .pnz
• .pth
• .pwa
• .qpx
• .qry
• .qvd
• .rctd
• .rdb
• .rpd
• .rsd
• .sbf
• .sdb
• .sdf
• .spq
• .sqb
• .sq
• .sqlite
• .sqlite3
• .sqlitedb
• .str
• .tcx
• .tdt
• .te
• .teacher
• .tmd
• .trm
• .udb
• .usr
• .v12
• .vdb
• .vpd
• .wdb
• .wmdb
• .xdb
• .xld
• .xlgc
• .zdb
• .zdc

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• free_files!.html
• {e29ac6c0-7037-11de-816d-806e6f6e6963}
• Windows
• Microsoft
• Microsoft Help
• Windows App Certification Kit
• Windows Defender
• ESET
• COMODO
• Windows NT
• Windows Kits
• Windows Mail
• Windows Media Player
• Windows Multimedia Platform
• Windows Phone Kits
• Windows Phone Silverlight Kits
• Windows Photo Viewer
• Windows Portable Devices
• Windows Sidebar
• WindowsPowerShell
• Temp
• NVIDIA Corporation
• Microsoft
• NET
• Internet Explorer
• Kaspersky Lab
• McAfee
• Avira
• spytech software
• sysconfig
• Avast
• Dr
• Web
• Symantec
• Symantec_Client_Security
• system volume information
• AVG
• Microsoft Shared
• Common Files
• Outlook Express
• Movie Maker
• Chrome
• Mozilla Firefox
• Opera
• YandexBrowser
• ntldr
• Wsus
• ProgramData

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .490

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted files directory}\free_files!.html