Ransom.MSIL.CHAOS.THDAGBD

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

特定のファイル拡張子を持つファイルを暗号化します。 身代金要求文書のファイルを作成します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Application Data%\SOLUTION_NOTE.txt
• %User Temp%\{9 Random Character}.jpg

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のファイルを作成し実行します。

• %Application Data%\svchost.exe → Executed with Escalated Privileges

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
UpdateTask = %Application Data%\svchost.exe

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableTaskMgr = 1

マルウェアは、以下のレジストリ値を変更し、デスクトップの壁紙を変更します。

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %User Temp%\{9 Random Character}.jpg

マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。

• %User Temp%\{9 Random Character}.jpg
  
  

感染活動

マルウェアは、すべての物理ドライブおよびリムーバブルドライブ内に以下として自身のコピーを作成します。

• {Drive Letter}:\surprise.exe → Excluding drive C:\

プロセスの終了

マルウェアは、感染コンピュータ上で確認した以下のサービスを終了します。

• BackupExecAgentBrowser
• BackupExecDiveciMediaService
• BackupExecJobEngine
• BackupExecManagementService
• vss
• sql
• svc$
• memtas
• sophos
• veeam
• backup
• GxVss
• GxBlr
• GxFWD
• GxCVD
• GxCIMgr
• DefWatch
• ccEvtMgr
• SavRoam
• RTVscan
• QBFCService
• Intuit.QuickBooks.FCS
• YooBackup
• YooIT
• zhudongfangyu
• sophos
• stc_raw_agent
• VSNAPVSS
• QBCFMonitorService
• VeeamTransportSvc
• VeeamDeploymentService
• VeeamNFSSvc
• veeam
• PDVFSService
• BackupExecVSSProvider
• BackupExecAgentAccelerator
• BackupExecRPCService
• AcrSch2Svc
• AcronisAgent
• CASAD2DWebSvc
• CAARCUpdateSvc
• TeamViewer

その他

マルウェアは、以下を実行します。

• It displays a message box and terminates execution if any of the input languages below is detected:
  • Azerbaijan
  • Turkey
  
  

ランサムウェアの不正活動

以下の拡張子を持つファイルを暗号化します：$$ DATA $$

• .aac
• .adt
• .adts
• .accdb
• .accde
• .accdr
• .accdt
• .aif
• .aifc
• .aiff
• .aspx
• .avi
• .bat
• .bin
• .bmp
• .cab
• .cda
• .csv
• .dif
• .dll
• .doc
• .docm
• .docx
• .dot
• .dotx
• .eml
• .eps
• .exe
• .flv
• .gif
• .htm
• .html
• .ini
• .iso
• .jar
• .jpg
• .jpeg
• .m4a
• .mdb
• .mid
• .midi
• .mov
• .mp3
• .mp4
• .mpeg
• .mpg
• .msi
• .mui
• .pdf
• .png
• .pot
• .potm
• .potx
• .ppam
• .pps
• .ppsm
• .ppsx
• .ppt
• .pptm
• .pptx
• .psd
• .pst
• .pub
• .rar
• .rtf
• .sldm
• .sldx
• .swf
• .sys
• .tif
• .tiff
• .tmp
• .txt
• .vob
• .vsd
• .vsdm
• .vsdx
• .vss
• .vst
• .vstm
• .wav
• .wbk
• .wks
• .wma
• .wmd
• .wmv
• .wmz
• .wms
• .wpd
• .wp5
• .xla
• .xlam
• .xll
• .xlm
• .xls
• .xlsm
• .xlt
• .xltm
• .xltx
• .xps
• .zip
• .au
• .class
• .cvs
• .dbf
• .fm3
• .hqx
• .mac
• .map
• .mtb
• .psp
• .qxd
• .ra
• .sit
• .tar
• .wk3
• .wpl
• .7z
• .arj
• .deb
• .pkg
• .rpm
• .tar.gz
• .z
• .dmg
• .toast
• .vcd
• .dat
• .db
• .log
• .sav
• .sql
• .xml
• .email
• .emlx
• .msg
• .oft
• .ost
• .vcf
• .gadget
• .sh
• .wsf
• .fnt
• .fon
• .otf
• .ttf
• .ai
• .ico
• .ps
• .scr
• .svg
• .webp
• .asp
• .cer
• .cfm
• .css
• .jsp
• .part
• .php
• .py
• .rss
• .xhtml
• .key
• .odp
• .apk
• .c
• .cpp
• .cs
• .h
• .java
• .swift
• .vb
• .ods
• .bak
• .cfg
• .cpl
• .cur
• .dmp
• .drv
• .icns
• .lnk
• .3g2
• .3gp
• .h264
• .m4v
• .mkv
• .rm
• .webm
• .contact
• .settings
• .xlsx
• .odt
• .mka
• .mhtml
• .oqy
• .mdb
• .cub
• .dae
• .indd
• .dwg
• .lnk
• .dib
• .dic
• .divx
• .7zip
• .ace
• .bz2
• .cab
• .gzip
• .lzh
• .xz
• .torrent
• .core
• .pdb
• .wmv
• .cer
• .backup
• .bay
• .p7c
• .exif
• .raw
• .sie
• .sum
• .ibank
• .wallet
• .rb
• .xlsm
• .xlsb
• .jpe
• .blob
• .xlw
• .xsd
• .xsf
• .xsl
• .kmz
• .stm
• .accdt
• .1cd
• .3fr
• .adp
• .ai3
• .ai4
• .ai5
• .ai6
• .ai7
• .ai8
• .arw
• .ascx
• .asm
• .asmx
• .avs
• .cfm
• .dbx
• .dcm
• .dcr
• .pict
• .rgbe
• .dwt
• .f4v
• .exr
• .kwm
• .max
• .mda
• .mdf
• .mdw
• .mht
• .mpv
• .myi
• .nef
• .odc
• .geo
• .odm
• .oft
• .orf
• .pfx
• .p12
• .pl
• .pls
• .safe
• .tab
• .vbs
• .xlk
• .xlm
• .xltx
• .pptx
• .pot
• .xps
• .xsf
• .xsl
• .pptm
• .potm
• .xltx
• .pptm
• .potm
• .pot
• .xlw
• .kmz
• .accdr
• .accdw
• .acda
• .accdc
• .accdw
• .bin
• .ascx
• .asm
• .asmx
• .avs
• .cfm
• .dbx
• .dcm
• .dcr
• .rgbe
• .f4v
• .exr
• .kwm
• .max
• .mda
• .mdf
• .mdw
• .mht
• .mpv
• .myi
• .nef
• .odc
• .geo
• .odm
• .orf
• .pfx
• .p12
• .pl
• .pls
• .safe
• .tab
• .vbs
• .xlk
• .xlm
• .xlt
• .pptm
• .potm
• .xltx
• .xps
• .xsf
• .xsl
• .pptm
• .potm
• .xltx

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• boot.ini
• bootfont.bin
• boot.ini
• iconcache.db
• ntuser.dat
• ntuser.dat.log
• ntuser.ini
• thumbs.db
• autorun.inf
• bootsect.bak
• desktop.ini

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• appdata\local
• appdata\locallow
• users\all users
• \ProgramData

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• In Drive C, it will avoid the following directories:
  • %User Profile%\Desktop
  • %User Profile%\Links
  • %User Profile%\Contacts
  • %User Profile%\Desktop
  • %User Profile%\Documents
  • %User Profile%\Downloads
  • %User Profile%\Pictures
  • %User Profile%\Music
  • %User Profile%\OneDrive
  • %User Profile%\Saved Games
  • %User Profile%\Favorites
  • %User Profile%\Searches
  • %User Profile%\Videos
  • %User Profile%\AppData\Roaming
  • %Public%\Documents
  • %Public%\Pictures
  • %Public%\Music
  • %Public%\Videos
  • %Public%\Desktop

(註：%Public%フォルダは、すべてのユーザ共通のファイルまたはフォルダのリポジトリとして機能するフォルダです。Windows Vista、7、8の場合、通常 "C:\Users\Public" です。)

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .LethalLock

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Directory\SOLUTION_NOTE.txt
  
  

<補足>
インストール

マルウェアは、以下のファイルを作成し実行します。

• %Application Data%\svchost.exe → 昇格された権限を用いて実行される

感染活動

マルウェアは、すべての物理ドライブおよびリムーバブルドライブ内に以下として自身のコピーを作成します。

• {ドライブ文字}:\surprise.exe → ドライブ「C:\」を除く

その他

マルウェアは、以下を実行します。

• 以下の入力言語のいずれかが検出された場合、マルウェアは、以下のメッセージボックスを表示して、実行を終了します。
  • Azerbaijan
  • Turkey
    

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• ドライブ「C」内では、以下のディレクトリの暗号化はしません。
  • %User Profile%\Desktop
  • %User Profile%\Links
  • %User Profile%\Contacts
  • %User Profile%\Desktop
  • %User Profile%\Documents
  • %User Profile%\Downloads
  • %User Profile%\Pictures
  • %User Profile%\Music
  • %User Profile%\OneDrive
  • %User Profile%\Saved Games
  • %User Profile%\Favorites
  • %User Profile%\Searches
  • %User Profile%\Videos
  • %User Profile%\AppData\Roaming
  • %Public%\Documents
  • %Public%\Pictures
  • %Public%\Music
  • %Public%\Videos
  • %Public%\Desktop