Ransom.Linux.PLAYDE.YXEE3T

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

身代金要求文書のファイルを作成します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

感染活動

マルウェアは、ワーム活動の機能を備えていません。

その他

マルウェアは、以下を実行します。

• It runs ESXi-related commands to check that it is running in an ESXi environment
• If the sample is not running inside an ESXi environment, it will terminate and delete itself
• Once the ransomware runs in an ESXi environment, it will turn off any virtual machine and proceed on the encryption of VM files (VM disk, configuration, and metadata files)

マルウェアは、以下のパラメータを受け取ります。

• -p → Execute normal functionality. Same as no command-line argument.
• -f → Encrypt a specific drive
• -s → Encrypt network shared resource
• -e → Encrypt a specific folder/file

ランサムウェアの不正活動

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .PLAY

マルウェアが作成する以下のファイルは、脅迫状です。

• {Root Directory}\PLAY_Readme.txt

<補足>
その他

マルウェアは、以下を実行します。

• ESXi関連のコマンドを実行して、ESXi環境内で実行されていることを確認します。
• ESXi環境内で実行されていない場合は、不正活動を終了して自身を削除します。
• ESXi環境内で実行されると、すべての仮想マシンをオフにし、仮想マシン（VM）ファイル（仮想ディスクファイル、構成ファイル、メタデータファイル）の暗号化を継続します。

マルウェアは、以下のパラメータを受け取ります。

• -p → 通常の機能を実行する（コマンドライン引数がない場合と同じ）
• -f → 特定のドライブを暗号化する
• -s → ネットワーク上の共有リソースを暗号化する
• -e → 特定のフォルダ/ファイルを暗号化する