Trojan.BAT.RAMONWARE.THJOEBC

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• taskkill /f /im explorer.exe
• taskkill /f /im taskk.exe /t
• start explorer.exe
• 7z a -p"%password%" -mhe=on -mx9 "%%~dpnA.7z" "%%A"
• %Application Data%\Microsoft\Windows\Start Menu\Programs\Startup\{Malware file name}

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

その他

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• .txt
• .doc
• .xlsx

マルウェアは、以下を実行します。

• Attempts to archive folders in %User Profile%\Documents and %User Profile%\Downloads using 7z
• Attempts to add user account with random name
• Attempts to create {random}\folder

(註：%User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。)

ランサムウェアの不正活動

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .enc

マルウェアが作成する以下のファイルは、脅迫状です。

• %User Profile%\Desktop\how_to_recover_ur_files.txt