RANSOM.MSIL.LIGMA.THIAOAI

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• C:\WinWOW32\work.bat
• C:\WinWOW32\icon.ico
• C:\WinWOW32\mbr.bin
• C:\WinWOW32\Payloads.dll -> contains most of ransomware's additional features and functionalities
• C:\Windows\System32\taskmgr.exe -> replaces the original taskmgr.exe
• C:\Windows\regedit.exe -> replaces the original regedit.exe

マルウェアは、以下のプロセスを追加します。

• cmd C:\WinWOW32\work.bat
• takeown /f logonui.exe
• icacls logonui.exe /granted %username%:F
• takeown /f "C:\Windows\System32\en-US" /r /d y
• icacls "C:\Windows\System32\en-US" /granted %username%:F /T /C
• takeown /f explorer.exe
• takeown /f regedit.exe
• takeown /f HelpPane.exe
• takeown /f "C:\Windows\Temp" /r /d y
• takeown /f "C:\Windows\en-US" /r /d y
• icacls "C:\Windows\Temp" /granted %username%:F /T /C
• icacls "C:\Windows\en-US" /granted %username%:F /T /C
• icacls regedit.exe /granted %username%:F
• icacls explorer.exe /granted %username%:F
• icacls HelpPane.exe /granted %username%:F
• NetSh Advfirewall set allprofiles state off
• vssadmin delete shadows /all /quiet
• taskkill /f /im explorer.exe
• start explorer.exe

マルウェアは、以下のフォルダを作成します。

• C:\WinWOW32

他のシステム変更

マルウェアは、以下のファイルを削除します。

• C:\Windows\System32\taskmgr.exe
• C:\Windows\regedit.exe

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
DisableCMD = 1

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
NoControlPanel = 1

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
HideClock = 1

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
NoLogoff = 1

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
NoWindowsUpdate = 1

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
NoDrives = 1

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
MobilityCenter
NoMobilityCenter = 1

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
NoFolderOptions = 1

マルウェアは、以下のレジストリ値を変更します。

HKEY_CLASSES_ROOT\txtfile\DefaultIcon
(Default) = C:\WinWOW32\icon.ico

(註：変更前の上記レジストリ値は、「%System Root%\system32\imageres.dll, -102」となります。)

HKEY_CLASSES_ROOT\exefile\DefaultIcon
(Default) = C:\WinWOW32\icon.ico

(註：変更前の上記レジストリ値は、「%1」となります。)

HKEY_CLASSES_ROOT\VBSfile\DefaultIcon
(Default) = C:\WinWOW32\icon.ico

(註：変更前の上記レジストリ値は、「%System Root%\System32\WScript.exe, 2」となります。)

HKEY_CLASSES_ROOT\batfile\DefaultIcon
(Default) = C:\WinWOW32\icon.ico

(註：変更前の上記レジストリ値は、「%System Root%\System32\imageres.dll, -68」となります。)

HKEY_CLASSES_ROOT\dllfile\DefaultIcon
(Default) = C:\WinWOW32\icon.ico

(註：変更前の上記レジストリ値は、「imageres.dll, -67」となります。)

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows NT\CurrentVersion\Winlogon
AutoRestartShell = 0

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
EnableLUA = 0

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows Defender
DisableAntiSpyware = 1

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
ConsentPromptBehaviorAdmin = 0

(註：変更前の上記レジストリ値は、「5」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
Hidden = 2

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
ShowSuperHidden = 0

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
legalnoticecaption = LIGMA

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
legalnoticetext = Your Computer Got FUCKED By LIGMA!

ランサムウェアの不正活動

マルウェアは、以下の文字列を含むファイルを暗号化します。

• .0
• .1st
• .3dm
• .3mf
• .600
• .602
• .7z
• .7zip
• .a
• .aaf
• .abw
• .accdb
• .acl
• .aep
• .aepx
• .aet
• .ahk
• .ai
• .aps
• .as
• .as3
• .asc
• .asp
• .aspx
• .assets
• .asx
• .avi
• .bas
• .bep
• .bmp
• .c
• .cbf
• .cbfx
• .cer
• .cfa
• .class
• .config
• .contact
• .cpp
• .cs
• .css
• .csv
• .dat
• .db
• .dbf
• .deb
• .dic
• .doc
• .docb
• .docm
• .docx
• .dot
• .dotm
• .dotx
• .dvi
• .dwg
• .dxf
• .ebf
• .ebfx
• .ebuild
• .efx
• .eps
• .ev3
• .ev3
• .exp
• .fits
• .fla
• .flv
• .fnt
• .gif
• .go
• .gz
• .h
• .hmg
• .htm
• .html
• .ico
• .idml
• .inc
• .indb
• .indd
• .indl
• .indt
• .inx
• .iso
• .jar
• .java
• .jpeg
• .jpg
• .js
• .json
• .ldr
• .lic
• .loc
• .lock
• .log
• .lua
• .lxf
• .m3u8
• .m4a
• .max
• .mcfunction
• .mcmeta
• .md2
• .md3
• .md4
• .md5
• .mdb
• .mkv
• .mp3
• .mp4
• .mpeg
• .mpg
• .msg
• .msi
• .ncb
• .nuc
• .nut
• .obj
• .object
• .odf
• .odp
• .odt
• .ogg
• .otf
• .pdb
• .pdf
• .pek
• .pez
• .php
• .php?
• .piv
• .pkf
• .pl
• .plb
• .plg
• .pm
• .pmd
• .png
• .pot
• .potm
• .potx
• .pov
• .ppj
• .pps
• .ppt
• .pptm
• .pptx
• .prefs
• .prel
• .prfpset
• .prproj
• .prsl
• .ps
• .ps
• .ps.gz
• .psc
• .psd
• .psm1
• .py
• .python
• .rar
• .raw
• .rb
• .rbt
• .rc
• .res
• .resource
• .resx
• .rex
• .rtf
• .rxe
• .sdf
• .sdl
• .ses
• .silo
• .sln
• .sql
• .sti
• .svg
• .swf
• .swift
• .tab
• .tar.gz
• .tdf
• .tif
• .tiff
• .tpk
• .txt
• .udo
• .umod
• .vb
• .vcf
• .vob
• .w3d
• .war
• .webp
• .wmv
• .wpd
• .wps
• .wtv
• .wve
• .x
• .xla
• .xlam
• .xll
• .xlm
• .xls
• .xlsb
• .xlsm
• .xlsx
• .xlt
• .xltm
• .xltx
• .xlw
• .xml
• .xmp
• .xpl
• .xps
• .xqx
• .xsl-fo
• .z
• .zip
• ilk

マルウェアは、以下のディレクトリ内で確認されたファイルを暗号化します。

• %Cookies%
• %Desktop%
• %AppDataLocal%
• %Application Data%
• %User Profile%\Music
• %User Profile%\Videos
• %User Profile%\Pictures

(註：%Cookies%フォルダは、Internet Explorer（IE）のCookieフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Cookies"" です。Windows Vista、7の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Cookies"" です。Windows 8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Microsoft\Windows\INetCookies" です。. %Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\Desktop" です。. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞" です。)

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .ForgiveMe