Ransom.Linux.KUIPER.THAAHBD

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

その他

マルウェアは、以下を実行します。

• It prints the number of processors and execution logs to the console.
  
• It checks if the file size is greater than 4,493,148,150 bytes. Only a certain percentage of the file will be encrypted.
• It checks if the file extension is any of the following. These files will be encrypted in its entirety regardless of the file size.
  • .sql
  • .txt
  • .db
  • .json

マルウェアは、以下のパラメータを受け取ります。

• -help → Displays the help menu.
• -kill {yes|no} → Kill loop for taskmgr, cmd, regedit, powershell. (Default: no)
• -note {yes|no} → Paste note after directory change and encryption. (Default: yes)
• -p {path} → Target folder to encrypt files
• -reboot {yes|no} → Reboot after end encryption of all files or disks. (Default: yes)
• -rename {yes|no} → Rename file after encryption. (Default: yes)
• -bm {yes|no} → Encrypt big files first (Default: yes)

ランサムウェアの不正活動

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• /bin
• /boot
• /dev
• /etc
• /initrd
• /lib
• /lib64
• /libx32
• /opt
• /proc
• /root
• /run
• /sbin
• /srv
• /sys
• /tmp
• /usr/
• /var

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .kuiper

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted directory}\README_TO_DECRYPT.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .bak
• .bat
• .bin
• .blf
• .cfg
• .cmd
• .com
• .dat
• .dll
• .elf
• .exe
• .ini
• .lnk
• .msi
• .rtf
• .sys
• .tmp