Ransom.Linux.ECHORAIX.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

プロセスの終了

マルウェアは、感染コンピュータ上でプロセスが常駐されていることを確認した場合、以下のいずれかの文字列を含むプロセスまたはサービスを終了します。

• apache2
• httpd
• nginx
• mysqld
• mysql
• php-fpm
• php5-fpm
• postgresql

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}.{BLOCKED}.206.61/d.php?s=started
• http://{BLOCKED}.{BLOCKED}.206.61/d.php/s=done
• http://{BLOCKED}.{BLOCKED}.206.61:65000
• http://{BLOCKED}5hh.onion/api/GetAvailKeysByCampId/{Number}
• http://{BLOCKED}l5hh.onion/order/1LWqmP4oTjWS3ShfHWm1UjnvaLxfMr2kjm
• http://{BLOCKED}5hh.onion/static/

ランサムウェアの不正活動

マルウェアは、以下の文字列を含むファイルを暗号化します。

• .dat
• .db0
• .dba
• .dbf
• .dbm
• .dbx
• .dcr
• .der
• .dll
• .dml
• .dmp
• .dng
• .doc
• .dot
• .dwg
• .dwk
• .dwt
• .dxf
• .dxg
• .ece
• .eml
• .epk
• .eps
• .erf
• .esm
• .ewp
• .far
• .fdb
• .fit
• .flv
• .fmp
• .fos
• .fpk
• .fsh
• .fwp
• .gdb
• .gho
• .gif
• .gne
• .gpg
• .gsp
• .gxk
• .hdm
• .hkx
• .htc
• .htm
• .htx
• .hxs
• .idc
• .idx
• .ifx
• .iqy
• .iso
• .itl
• .itm
• .iwd
• .iwi
• .jcz
• .jpe
• .jpg
• .jsp
• .jss
• .jst
• .jvs
• .jws
• .kdb
• .kdc
• .key
• .kit
• .ksd
• .lbc
• .lbf
• .lrf
• .ltx
• .lvl
• .lzh
• .m3u
• .m4a
• .map
• .max
• .mdb
• .mdf
• .mef
• .mht
• .mjs
• .mlx
• .mov
• .moz
• .mp3
• .mpd
• .mpp
• .mvc
• .mvr
• .myo
• .nba
• .nbf
• .ncf
• .ngc
• .nod
• .nrw
• .nsf
• .ntl
• .nv2
• .nxg
• .nzb
• .oam
• .odb
• .odc
• .odm
• .odp
• .ods
• .odt
• .ofx
• .olp
• .orf
• .oth
• .p12
• .p7b
• .p7c
• .pac
• .pak
• .pdb
• .pdd
• .pdf
• .pef
• .pem
• .pfx
• .pgp
• .php
• .png
• .pot
• .ppj
• .pps
• .ppt
• .prf
• .pro
• .psd
• .psk
• .psp
• .pst
• .psw
• .ptw
• .ptx
• .pub
• .qba
• .qbb
• .qbo
• .qbw
• .qbx
• .qdf
• .qfx

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• /proc
• /boot/
• /sys/
• /run/
• /dev/
• /etc/
• /home/httpd
• /mnt/ext/opt
• .system/thumbnail
• .system/opt
• .config
• .qpkg

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .encrypt

マルウェアが作成する以下のファイルは、脅迫状です。

• README_FOR_DECRYPT.txt

マルウェアは、以下の内容を含む脅迫状のテキストファイルを残します。

• All your data has been locked(crypted).
  ​How to unclock(decrypt) instruction located in this TOR website: http://{BLOCKED}5hh.onion/order/{Bitcoin address}
  Use TOR browser for access .onion websites.
  https://{BLOCKED}kgo.com/html?q=tor+browser+how+to
  
  Do NOT remove this file and NOT remove last line in this file!
  {base64 encoded encrypted data}