Ransom.MSIL.MOISHA.THHBBBB

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• %System%\vssadmin.exe delete shadows /all /quiet → deletes shadow copies
• powershell.exe Set-MpPreference -DisableRealtimeMonitoring $true → disables Microsoft Defender real-time protection
• "%System%\WindowsPowershell\v1.0\powershell.exe" rm {Malware filename} → deletes itself after successful system encryption

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

プロセスの終了

マルウェアは、感染コンピュータ上で確認した以下のサービスを終了します。

• vss
• sql
• svc$
• memtas
• mepocs
• sophos
• veeam
• backup
• GxVss
• GxBlr
• GxFWD
• GxCVD
• GxCIMgr
• DefWatch
• ccEvtMgr
• ccSetMgr
• SavRoam
• RTVscan
• QBFCService
• QBIDPService
• Intuit.QuickBooks.FCS
• QBCFMonitorService
• YooBackup
• YooIT
• zhudongfangyu
• sophos
• stc_raw_agent
• VSNAPVSS
• VeeamTransportSvc
• VeeamDeploymentService
• VeeamNFSSvc
• veeam
• PDVFSService
• BackupExecVSSProvider
• BackupExecAgentAccelerator
• BackupExecAgentBrowser
• BackupExecDiveciMediaService
• BackupExecJobEngine
• BackupExecManagementService
• BackupExecRPCService
• AcrSch2Svc
• AcronisAgent
• CASAD2DWebSvc
• CAARCUpdateSvc

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• sql.exe
• oracle.exe
• ocssd.exe
• dbsnmp.exe
• synctime.exe
• agntsvc.exe
• isqlplussvc.exe
• xfssvccon.exe
• mydesktopservice.exe
• ocautoupds.exe
• encsvc.exe
• firefox.exe
• tbirdconfig.exe
• mydesktopqos.exe
• ocomm.exe
• dbeng50.exe
• sqbcoreservice.exe
• excel.exe
• infopath.exe
• msaccess.exe
• mspub.exe
• onenote.exe
• outlook.exe
• powerpnt.exe
• steam.exe
• thebat.exe
• thunderbird.exe
• visio.exe
• winword.exe
• wordpad.exe
• notepad.exe

その他

マルウェアは、以下を実行します。

• It checks if the file size is greater than 2GB if so, it will call a function to perform faster file encryption
• It does not append any extension on encrypted files
• It can infect other machines on the same network

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• Boot
• Windows
• Windows.old
• Tor Browser
• Tox
• Admin
• local
• $Recycle.Bin
• autorun.inf
• boot.ini
• bootfont.bin
• bootsect.bak
• bootmgr
• bootmgr.efi
• bootmgfw.efi
• desktop.ini
• ntldr
• ntuser.dat
• ntuser.dat.log
• ntuser.ini
• iconcache.db
• thumbs.db
• #recycle
• !!!READ TO RECOVER YOUR DATA!!!.txt

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• /boot
• /bin
• /usr
• /lib
• /snap
• /run
• /tmp
• /proc
• /etc
• Z:\boot
• Z:\bin
• Z:\usr
• Z:\lib
• Z:\snap
• Z:\run
• Z:\tmp
• Z:\proc
• Z:\etc

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Directory}\!!!READ TO RECOVER YOUR DATA!!!.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .pem
• .der
• .rsa
• .exe
• .dll
• .ocx
• .drv
• .sys
• .ttf
• .otf
• .log
• .reg
• .list