Ransom.Linux.NOESCAPE.THFOEBC

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

特定のフォルダ内のファイルを暗号化します。 身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• /{Shell Script File Path}/motd ← Ransom note in motd format
• /{Shell Script File Path}/index.html ← Ransom note in html format

情報漏えい

マルウェアは、以下のパラメータを受け取ります。

• /{Specific path to encrypt}/

その他

マルウェアは、以下を実行します。

• It requires the following file to proceed to its routines:
  • script_linux.sh <- Detected as Trojan.SH.NOESCAPE.THFOEBC
• It empties the trash/recycle bin by deleting the following folder recursively:
  • /.local/share/Trash/info/
  • /.local/share/Trash/files/
• It performs cleanup after execution by deleting the following files:
  • Log files
  • Backup files
  • /{Malware File Path}/{Malware Filename}.elf
  • /{Malware File Path}/index.html
  • /{Malware File Path}/motd
• It replaces the /etc/motd with the ransom note
• It uses the following configuration setup:
  • Local Configuration Key:
    • Local ID: 164f8295-{Random Characters}
    • IV Key: {Random Characters}
    • MP Key: {Random Characters}
  • Extensions:
    • Ignore: [elf, exe, lib, bin, sys]
    • Full: [sql]
  • Settings:
    • Build type: Linux
    • Add to autorun: False
    • Interval: 0
    • Print note: False
    • Set wallpaper: False
    • Large file size: 1024 mb
    • Spot size: 10 mb

ランサムウェアの不正活動

マルウェアは、以下のディレクトリ内で確認されたファイルを暗号化します。

• Home directory ← Default

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .BJDGAIHFHB

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Directory}\HOW_TO_RECOVER_FILES.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .bin
• .elf
• .exe
• .lib
• .sys