TROJ_RANSOM.ZD

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、特にトルコのユーザを対象としています。マルウェアは、ユーザに請求書の更新を通知するスパムメッセージとしてコンピュータに侵入します。ユーザがリンクをクリックすると、マルウェアは、文書ファイルとされるファイルをダウンロードします。この文書ファイルは、実際はマルウェアです。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Windows%\{random characters}.exe

(註：%Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。)

マルウェアは、以下のテキストファイルを作成します。

• {Folder Path}\LUTFEN_OKUYUN.inf

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Bit Torrent Application Instance

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{random key} = "%Windows%\{random characters}.exe"

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Bit Torrent Application\
Configuration
{random numbers} = "{random hex values}"

ファイル感染

マルウェアは、以下の形式のファイルには感染しません。

• avi
• wav
• mp3
• gif
• ico
• png
• bmp
• inf
• manifest
• chm
• log
• ini
• tmp
• lnk
• cmd
• bat
• scr
• msi
• sys
• dll
• exe

マルウェアは、以下の文字列を含むフォルダには感染しません。

• AppData
• Application Data
• Cache
• Temp
• Windows
• System Volume Information

その他

マルウェアは、物理ドライブ内のファイルを暗号化し、ファイル名に".sifreli"を追加します。身代金を要求するメッセージは、ファイル"LUTFEN_OKUYUN.inf"に含まれています。

マルウェアは、以下のURLにアクセスし、ファイルの暗号化に用いられるキーをダウンロードします。

• https://{BLOCKED}omain.dp.ua/gate2.php

ただし、上述のWebサイトは情報公開日現在、アクセス不能です。