Ransom.MSIL.IMMALOCKER.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• C:\LockBIT\systemID → contains the UniqueID

マルウェアは、以下のプロセスを追加します。

• "sc" config "{Service Name}" start= demand
  Services that contains any of the following strings in its name:
  • SQL
  • 1C:
  • IAS
  • AnyDesk
  • VSS
  • firebird
  • Acronis

マルウェアは、以下のフォルダを作成します。

• C:\LockBIT → with HIDDEN attribute

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
taskhostw = {Malware Path}\{Malware Path}

プロセスの終了

マルウェアは、感染コンピュータ上でプロセスが常駐されていることを確認した場合、以下のいずれかの文字列を含むプロセスまたはサービスを終了します。

• SQL
• 1C:
• IAS
• AnyDesk
• VSS
• firebird
• Acronis

その他

マルウェアは、以下を実行します。

• Sets the attribute of the executed sample file to HIDDEN.
• It empties the Recycle Bin.
• It compares a file's size against this value: 6,710,886,400 bytes.
  • Size is greater:
    File will be encrypted in CBC cipher mode
  • Size is lesser:
    Fill will be encrypted in ECB cipher mode

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• .exe
• .msi
• .ImmaLocker
• .dll
• Readme

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• C:\Windows

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• {Original filename}.{Original extension}.{BLOCKED}@cyberfear.com.{Unique ID}.ImmaLocker

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Drive}:\Readme.txt
  If filename already exists, the following will be dropped instead:
  • Readme-{random}.txt
• %Desktop%\Readme.txt
  If filename already exists, the following will be dropped instead:
  • Readme-{random}.txt
•