TROJ_RANSOM.SMAR

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

このマルウェアは、2014年4月下旬に報告された「USTEAL」の亜種のファイナルペイロードです。マルウェアは、感染したコンピュータ上で発見した特定のファイルを暗号化します。そして暗号化したファイルを元に戻すために、身代金（ランサム）を支払うようユーザに要求します。このマルウェアに感染したユーザは、コンピュータ上の特定のファイルタイプが暗号化され、また同様に、このマルウェアの通信機能により、個人情報が搾取される可能性があります。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Temp%\{random}.exe

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、身代金を要求する手紙として、テキストファイルを作成します。このテキストファイルは以下の内容を含んでいます。

• Внимание! Все Ваши файлы зашифрованы! Чтобы восстановить свои файлы и получить к ним доступ, отправьте смс с текстом XXXX на номер YYYY У вас есть N попыток ввода кода. При превышении этого количества, все данные необратимо испортятся. Будьте внимательны при вводе кода!

マルウェアは、以下のテキストファイルを作成します。

• %Desktop%\HOW TO DECRYPT FILES.txt

(註：%Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\デスクトップ"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\デスクトップ" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Alcmeter = "%User Temp%\{random}.exe"

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CLASSES_ROOT\{random key}

HKEY_LOCAL_MACHINE\Software\Classes\
{random key}

マルウェアは、以下のレジストリ値を追加します。

HKEY_CLASSES_ROOT\{random key}\DefaultIcon
(Default) = "%User Temp%\{random}.exe,0"

HKEY_CLASSES_ROOT\{random key}
(Default) = "CRYPTED!"

HKEY_CLASSES_ROOT\{random key}\shell\
open\command
(Default) = "%User Temp%\{random}.exe"

その他

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• .zip
• .tar
• .gzip
• .jpg
• .jpeg
• .psd
• .cdr
• .dwg
• .max
• .bmp
• .gif
• .png
• .doc
• .docx
• .xls
• .xlsx
• .ppt
• .pptx
• .txt
• .pdf
• .djvu
• .htm
• .html
• .mdb
• .cer
• .p12
• .pfx
• .kwm
• .pwm
• .1cd
• .mdf
• .dbf
• .odt
• .vob
• .ifo
• .lnk
• .torrent
• .mov
• .m2v
• .3gp
• .mpeg
• .mpg
• .flv
• .avi
• .mp4
• .wmv
• .divx
• .mkv
• .mp3
• .wav
• .flac
• .ape
• .wma
• .ac3

マルウェアは、以下のファイル名を使用し、暗号化されたファイルを改称します。

• {original file name and extension}.bat

このマルウェアは、以下のレジストリ値を改変し、拡張子「bat」を利用した暗号化されたファイルが開けられる度に、自身が自動実行されるようにします。

HKEY_CLASSES_ROOT\.bat
(Default) = {random key}

ユーザが暗号化されたファイルを開けると、マルウェアは、以下のウィンドウを開きます。

最初のボタンで、ユーザにパスワードを入れるように要求します。複数回間違ったパスワードが入力されると、ダイアログが、パスワード入力の制限に達したとユーザに通知します。

2つ目のボタンを押すと、命令の入った別のダイアログが表示されます。

正しいパスワードが入力されると、マルウェアは、別のダイアログを表示し、パスワードの入力が成功したことと、拡張子「bat」のファイルが元の状態に戻されたことを示します。