RANSOM_PYLOCKY.A

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

トレンドマイクロは7月下旬から8月全体を通して、暗号化型ランサムウェア「PyLocky」を拡散するスパムメールの活動の波を確認しました。このランサムウェアは、身代金要求文書において「Locky」になりすましていますが、「PyLockey」と「Locky」の相互の関係性はありません。

特定のファイル拡張子を持つファイルを暗号化します。その後、身代金要求文書を作成します。

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。 マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

情報漏えい

マルウェアは、以下の情報を収集します。

• Computer Name
• Username
• Processor Information
• GPU Information
• OS Version
• RAM Information
• Computer Language
• MAC Address

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://4wcgql{BLOCKED}zm.onion/{BLOCKED}x.php

ランサムウェアの不正活動

マルウェアは、以下の文字列を含むファイルを暗号化します。

• .3dm
• .3ds
• .3g2
• .3gp
• .7z
• .accdb
• .ai
• .aif
• .apk
• .app
• .asf
• .asp
• .aspx
• .avi
• .bak
• .bat
• .bmp
• .c
• .cbr
• .cer
• .cfg
• .cfm
• .cgi
• .class
• .com
• .cpp
• .cs
• .css
• .csv
• .dat
• .db
• .dbf
• .dds
• .deb
• .dem
• .dif
• .doc
• .docm
• .docx
• .dotm
• .dotx
• .eps
• .flv
• .fnt
• .fon
• .fpx
• .gam
• .ged
• .gif
• .gz
• .h
• .htm
• .html
• .ics
• .iff
• .indd
• .ini
• .iso
• .j2c
• .j2k
• .java
• .jfif
• .jif
• .jp2
• .jpeg
• .jpg
• .jpx
• .js
• .json
• .jsp
• .key
• .keychain
• .log
• .lua
• .m3u
• .m4a
• .m4v
• .max
• .mdb
• .mht
• .mhtml
• .mid
• .mkv
• .mov
• .mp3
• .mp4
• .mpa
• .mpg
• .msg
• .msi
• .nes
• .obj
• .ods
• .odt
• .old
• .otf
• .pages
• .pcd
• .pct
• .pdf
• .php
• .pkg
• .pl
• .png
• .pps
• .ppt
• .pptx
• .prf
• .prn
• .ps
• .psd
• .py
• .rar
• .rm
• .rom
• .rpm
• .rss
• .rtf
• .sav
• .sdf
• .sh
• .slk
• .sln
• .sql
• .srt
• .svg
• .swf
• .swift
• .tar
• .tex
• .tga
• .tgz
• .thm
• .tif
• .tiff
• .tmp
• .torrent
• .ttf
• .txt
• .vb
• .vcf
• .vcxproj
• .vob
• .wav
• .wma
• .wmv
• .wpd
• .wps
• .xhtml
• .xla
• .xlam
• .xls
• .xlsb
• .xlsm
• .xlsx
• .xltx
• .xml
• .xps
• .yuv
• .zip
• .zipx

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .lockedfile

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Directory}\LOCKY-README.txt
  
  
  
• {Encrypted Directory}\{Original Filename}.lockymap
  

＜補足＞
情報漏えい

マルウェアは、以下の情報を収集します。

• コンピュータ名
• ユーザ名
• プロセッサ情報
• GPU情報
• オペレーティングシステム（OS）のバージョン
• RAM情報
• コンピュータ言語
• MACアドレス

その他

感染したシステム内のファイルを暗号化することができます。