Ransom.Linux.BLACKSUIT.THEODBC

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

特定のファイル拡張子を持つファイルを暗号化します。 身代金要求文書のファイルを作成します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• {Malware File Path}\blacksuit_log_{number} → log file
• {Malware File Path}\PS_syslog_ → contains a list of processes with the string vmsyslogd in its name
• {Malware File Path}\PID_ → contains PID of the executed process
• {Malware File Path}\PS_list → contains PID of all running processes
• {Malware File Path}\list_ → contains a list of running virtual machines

マルウェアは、以下のプロセスを追加します。

• /bin/sh -c ps -Cc|grep vmsyslogd > PS_syslog_
• /bin/sh -c kill -9 {PID} → terminates processes with the string vmsyslogd in its name
• If -killvm is passed as an argument:
  • /bin/sh -c esxcli vm process list > list_
  • /bin/sh -c esxcli vm process kill --type=soft --world-id={World ID of the VM to terminate}

その他

マルウェアは、以下を実行します。

• It only encrypts VM related files by default.
• It terminates processes with the string vmsyslogd by default.
• Based on analysis of the codes, this malware has the following capabilities:
  • It can terminate VM processes using its World ID and VMX Cartel ID by executing the following commands:
    • /bin/sh -c lsof | egrep 'Cartel|%s' > CID_list_
    • /bin/sh -c esxcli vm process list > PID_list_
    • /bin/sh -c esxcli vm process kill --type=force --world-id={World ID or VMX Cartel ID of the VM to terminate}
  • It can drop the following files:
    • {Malware File Path}\CID_list_ → contains a list of VMX Cartel IDs
    • {Malware File Path}\PID_list_ → contains a list of running virtual machines

マルウェアは、以下のパラメータを受け取ります。

• required to proceed to its encryption routine:
  • -name {32 byte characters} → used to define Victim ID
  • -p {directory} → used to specify a target directory to encrypt
• -percent {0 to 100} → used to define encryption parameter
• -thrcount → used to create a specified number of threads depending on the number of processors of the infected machine
• -skip {text file} → used to specify a text file containing folders to skip
• -killvm → used to terminate VM processes via ESXCLi command
• -allfiles → used to encrypt all files
• -noprotect → does not check if the process has already been started, does not drop the file PID_
• -vmsyslog → does not terminate processes with the string vmsyslogd in its name
• -demonoff → used to display logs on terminal

ランサムウェアの不正活動

以下の拡張子を持つファイルを暗号化します：$$ DATA $$

• .vmem
• .vmdk
• .nvram
• .vmsd
• .vmsn
• .vmss
• .vmtm
• .vmxf
• .vmx

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• .blacksuit
• .BlackSuit
• .blacksuit_log_
• .list_
• .PID_
• .PS_list
• .PID_list_
• .CID_list_
• .sf
• .v00
• .b00
• README.BlackSuit.txt
• README.blacksuit.txt

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• {Original File Name}.{Original File Extension}.blacksuit

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Directory}\README.blacksuit.txt