TROJ_RANSOM.IHN

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、実行後、自身を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Application Data%\africa.bmp
• %Application Data%\Microsoft\Windows\Start Menu\Programs\Startup\africa.bmp
• %Application Data%\Microsoft\Windows\Start Menu\Programs\Startup\cleen.bat - deletes the initial malware and the deletes the batch file itself

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、実行後、自身を削除します。

自動実行方法

マルウェアは、Windows起動時に自動実行されるよう＜Common Startup＞フォルダ内に以下のファイルを作成します。

• %Application Data%\Microsoft\Windows\Start Menu\Programs\Startup\{malware file name and extension} - Copy of itself

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

他のシステム変更

マルウェアは、以下のレジストリ値を変更し、デスクトップの壁紙を変更します。

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = "%Application Data%\africa.bmp"

HKEY_CURRENT_USER\Control Panel\Desktop
TileWallpaper = "0"

マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。

その他

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• .jpg
• .jpeg
• .doc
• .rtf
• .xls
• .zip
• .db3
• .rar
• .7z
• .docx
• .pdf
• .odt
• .ppt
• .mdb
• .dwg
• .xml
• .dt
• .gsf
• .ppsx
• .pptx
• .xlsx
• .1cd
• .dbf

マルウェアは、以下のファイル名を使用し、暗号化されたファイルを改称します。

• {file name and extension}.sos@{BLOCKED}e.com_T3