RANSOM_PETYA.SMA

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

暗号化ランサムウェア「PETYA」の亜種は、2017年6月末に確認された現在進行中の攻撃キャンペーンで利用されています。このランサムウェアは、暗号化の機能に加えて、ロングイン認証情報を窃取する機能も備えています。このランサムウェアに感染すると、ファイルが暗号化され、コンピュータのセキュリティが侵害されます。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %ProgramData%\dllhost.dat

(註：%ProgramData%フォルダは、Windows Vista および 7 の場合、通常、"C:\ProgramData"、Windows 2000、XP (32ビット)、Server 2003 の場合、"C:\Program Files"、Windows XP (64ビット) の場合、"C:\Program Files (x86)" です。)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• \{remote machine name}\admin$\{malware filename}
  
  (Notes: The shared name admin$ refers to the directory where Windows is installed.)

情報漏えい

マルウェアは、以下の情報を収集します。

• Username
• Password

ランサムウェアの不正活動

マルウェアは、以下の文字列を含むファイルを暗号化します。

• .3ds
• .7z
• .accdb
• .ai
• .asp
• .aspx
• .avhd
• .back
• .bak
• .c
• .cfg
• .conf
• .cpp
• .cs
• .ctl
• .dbf
• .disk
• .djvu
• .doc
• .docx
• .dwg
• .eml
• .fdb
• .gz
• .h
• .hdd
• .kdbx
• .mail
• .mdb
• .msg
• .nrg
• .ora
• .ost
• .ova
• .ovf
• .pdf
• .php
• .pmf
• .ppt
• .pptx
• .pst
• .pvi
• .py
• .pyc
• .rar
• .rtf
• .sln
• .sql
• .tar
• .vbox
• .vbs
• .vcb
• .vdi
• .vfd
• .vmc
• .vmdk
• .vmsd
• .vmx
• .vsdx
• .vsv
• .work
• .xls
• .xlsx
• .xvd
• .zip

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• \{remote machine name}\admin$\{malware filename}
（※註：共有名admin$は、Windowsがインストールされているディレクトリを指します。）

マルウェアが収集する情報は以下のとおりです。

• ユーザ名
• パスワード

マルウェアは、実行後10分から60分待機してコンピュータを再起動します。

マルウェアは、感染コンピュータの「Master BootRecord（MBR)」を上書きします。マルウェアは、「Master File Table (MFT)」を暗号化します。

マルウェアは、暗号化したファイルのファイル名を改称しません。

マルウェアは以下のコマンドを実行します。

• dllhost.dat \\{remote machine name} -accepteula -s -d C:\Windows\System32\rundll32 "C:\Windows\{malware filename}",#1 {random number minimum 10} {enumerated credentials}

コマンドの実行が成功しない場合、マルウェアは"wmic.exe"を利用してリモートコンピュータのファイルを実行します。

• %System%\wbem\wmic.exe /node:"{node}" /user:"{user name}" /password:"{password}" process call create "C:\Windows\System32\rundll32 \"C:\Windows\{malware filename}\" #1 {random number minimum 10} {enumerated credentials}"

マルウェアは、"README.txt"というファイル名の脅迫状を作成します。脅迫状には以下が含まれています。

コンピュータの再起動後、マルウェアは以下の画面を表示します。