Ransom.Linux.KUIPER.THLODBC

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、実行後、自身を削除します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• If the argument -reboot is not set to "no":
  • /bin/bash -c reboot
• If the argument -safe is set to "yes":
  • /bin/bash -c shutdown /r /t 0

マルウェアは、実行後、自身を削除します。

その他

マルウェアは、以下を実行します。

• It prints the number of processors and execution logs to the console.
  
• It checks if the file size is greater than 466,616,310 bytes. Only a certain percentage of the file will be encrypted.
• It checks if the file extension of the large file is any of the following. A different percentage of the file will be encrypted.
  • .backup
  • .blend1
  • .iso
  • .jpa
  • .jpg
  • .mbk
  • .mp3
  • .mp4
  • .nba
  • .pdf
  • .png
  • .pvm
  • .raw
  • .sis
  • .spg
  • .vdi
  • .vhd
  • .vmx
  • .vsv
  • .zip
  • .abk
  • .acp
  • .adi
  • .bkz
  • .doc
  • .dsb
  • .gho
  • .abu1
  • .avdx
  • .avhd
  • .docx
  • .qbmb
  • .vhdx
  • .vmcx
  • .vmdk
  • .vmem
  • .vmrs
  • .vmsd
  • .vmsn
  • .xlsx
  • .vbox-prev
  • .scripa
  • .subvol
  • .wx
  • .nvram
  • .qcow2
• It checks if the file extension is any of the following. These files will be encrypted in its entirety regardless of the file size.
  • .sql
  • .txt
  • .db
  • .json

マルウェアは、以下のパラメータを受け取ります。

• -help → Displays the help menu.
• -chacha {yes|no} → Use chacha20 for encrypt files < 500 MB. (Defualt: no)
• -kill {yes|no} → Kill loop for taskmgr, cmd, regedit, powershell. (Default: yes)
• -note {yes|no} → Paste note after directory change and encryption. (Default: yes)
• -p {path} → Target folder to encrypt files
• -reboot {yes|no} → Reboot after end encryption of all files or disks. (Default: yes)
• -rename {yes|no} → Rename file after encryption. (Default: yes)
• -safe {yes|no} → Reboot system in safe mode and start encryption. (Default: no)
• -shared {auto|ip} → Discover and mount remote shareds
• -spread {yes|no} → Self spread from DC to all hosts on local network. (Default: yes)

ランサムウェアの不正活動

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .kuiper

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Directory}/README_TO_DECRYPT.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .ini
• .key
• .cert
• .private_key
• .man
• .cfg
• .DATA
• .inf
• .LOG2
• .LOG
• .LOG1
• .ttf
• .regtrans-ms
• .search-ms
• .desktop
• .Desktop
• .tmp
• .DAT
• .TMP
• .so
• .dll
• .exe
• .go
• .msi
• .html
• .bak
• .dat
• .blf
• .386
• .lnk
• .bat
• .cmd
• .sys
• .crlk
• .bin
• .elf
• .rtf
• .com
• .kuiper