Ransom.MSIL.REDENERGY.THJAOBD

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

特定のファイル拡張子を持つファイルを暗号化します。 身代金要求文書のファイルを作成します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\tmp{random}.tmp.bat → terminate itself and delete sample

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のプロセスを追加します。

• %System%\cmd.exe /C vssadmin delete shadows /all /quiet & wmic shadowcopy delete
• %System%\cmd.exe /C wbadmin delete catalog -quiet
• takeown /f \"%System%\smartscreen.exe\" /a
• icacls \"%System%\smartscreen.exe\" /reset → takes ownership of the application and resets the Access Control Lists
• taskkill /im smartscreen.exe /f → terminates the application
• icacls \"%System%\smartscreen.exe\" /inheritance:r /remove * S - 1 - 5 - 32 - 544 * S - 1 - 5 - 11 * S - 1 - 5 - 32 - 545 * S - 1 - 5 - 18 → removes permission from the specified security identifier to access smartscreen.exe
• %User Temp%\SystemPropertiesProtection.exe

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、感染コンピュータ上のメモリに以下のプロセスを確認すると、自身を終了します。

• csfalconservice
• csfalconcontainer
• processhacker
• netstat
• netmon
• tcpview
• wireshark
• filemon
• regmon
• cain
• eguiproxy
• devenv
• ekrn
• rsenginesvc
• fcdblog
• fcappdb
• fortisettings
• fortiesnac
• fortitray
• fsguistarter
• fshoster32

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。

• https://{BLOCKED}o.co/1ZahL4.ico

情報漏えい

マルウェアは、以下の情報を収集します。

• Username
• System Locale
• List of Antivirus Products
• List of MAC Address
• Hostname

その他

マルウェアは、以下を実行します。

• It sets the attributes of itself to SYSTEM and HIDDEN.
• It terminates itself if the time zone is the following:
  • RU - Russia
  • KZ - Kazakhstan
  • BY - Belarus
  • AM - Armenia
  • AZ - Azerbaijan
  • KG - Kyrgyzstan
  • MD - Moldova
  • TJ - Tajikistan
  • TM - Turkmenitan
  • UZ - Uzbekistan
• It terminates itself if the language of the affected machine is the following:
  • Ukrainian
  • Belarusian
  • Azerbaijani
  • Armenian
  • Georgian
  • Uzbek
  • Russian
  • Kazakh
• It terminates itself if the following network monitoring tools were found in the system:
  • HTTPDebuggerBrowser.dll
  • FiddlerCore4.dll
  • RestSharp.dll
  • Titanium.Web.Proxy.dll
• It checks for the presence of a debugger
• It checks if the sample is running in a 64-bit environment.
• It deletes the original file after encryption.
• It terminates itself if the following prefix of MAC addresses were found in the system:
  • 000C29 - VMWare Inc.
  • 001C14 - Cisco Systems
  • 005056 - VMWare Inc.
  • 000569 - Intel
  • 080027 - VMWare, Inc
  • 000001 - Xerox Corporation
• It terminates itself if the following GUID is found in the system:
  • 4040CF00-1B3E-486A-B407-FA14C56B6FC0
• It restarts the system after file encryption.
• It terminates itself if the following registry entry was found in the system:
  • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\Folders
    {data} = C:\ANYRUN

ただし、情報公開日現在、このWebサイトにはアクセスできません。

マルウェアは、以下のいずれかのファイルが存在している場合、自身を終了します。

• %Program Files%\CrowdStrike\CSFalconContainer.exe
• %Program Files%\CrowdStrike\CSFalconService.exe
• %Windows%\Sysnative\Drivers\Vmmouse.sys
• %Windows%\Sysnative\Drivers\vm3dgl.dll
• %Windows%\Sysnative\Drivers\vmdum.dll
• %Windows%\Sysnative\Drivers\vm3dver.dll
• %Windows%\Sysnative\Drivers\vmtray.dll
• %Windows%\Sysnative\Drivers\vmci.sys
• %Windows%\Sysnative\Drivers\vmusbmouse.sys
• %Windows%\Sysnative\Drivers\vmx_svga.sys
• %Windows%\Sysnative\Drivers\vmxnet.sys
• %Windows%\Sysnative\Drivers\VMToolsHook.dll
• %Windows%\Sysnative\Drivers\vmhgfs.dll
• %Windows%\Sysnative\Drivers\vmmousever.dll
• %Windows%\Sysnative\Drivers\vmGuestLib.dll
• %Windows%\Sysnative\Drivers\VmGuestLibJava.dll
• %Windows%\Sysnative\Drivers\vmscsi.sys
• %Windows%\Sysnative\Drivers\VBoxMouse.sys
• %Windows%\Sysnative\Drivers\VBoxGuest.sys
• %Windows%\Sysnative\Drivers\VBoxSF.sys
• %Windows%\Sysnative\Drivers\VBoxVideo.sys
• %Windows%\Sysnative\vboxdisp.dll
• %Windows%\Sysnative\vboxhook.dll
• %Windows%\Sysnative\vboxmrxnp.dll
• %Windows%\Sysnative\vboxogl.dll
• %Windows%\Sysnative\vboxoglarrayspu.dll
• %Windows%\Sysnative\vboxoglcrutil.dll
• %Windows%\Sysnative\vboxoglerrorspu.dll
• %Windows%\Sysnative\vboxoglfeedbackspu.dll
• %Windows%\Sysnative\vboxoglpackspu.dll
• %Windows%\Sysnative\vboxoglpassthroughspu.dll
• %Windows%\Sysnative\vboxservice.exe
• %Windows%\Sysnative\vboxtray.exe
• %Windows%\Sysnative\VBoxControl.exe
• ekrnLang.dll
• ekrnScan.dll
• ekrnDevmonLang.dll
• eguiScan.dll
• eguiActivation.dll
• FCCryptDLL.dll
• FortiTrayResc.dll
• SbieDll.dll
• SxIn.dll
• Sf2.dll
• snxhk.dll
• cmdvrt32.dll
• avghookx.dll
• avgooka.dll
• sbiedll.dll
• api_log.dll
• dir_watch.dll
• pstorec.dll
• vmcheck.dll
• wpespy.dll
• cmdvrt64.dll

(註：%Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、以下のいずれかのユーザ名が感染コンピュータで確認される場合、自身を終了します。

• ANNA-PC
• 210979

ランサムウェアの不正活動

以下の拡張子を持つファイルを暗号化します：$$ DATA $$

• .cpl
• .dll
• .exe
• .com
• .sys
• .dat
• .key
• .reg
• .dmp
• .msp
• .ics
• .lnk
• .icl
• .msu
• .diagcab
• .ico
• .db
• .msu
• .ini
• .json
• .log
• .drv
• .db

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• appdata\local
• appdata\locallow
• users\all users
• \programdata

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• Program Files
• Program Files (x86)
• Windows
• $Recycle.Bin
• MSOCache
• Documents and Settings
• Intel
• PerfLogs
• Windows.old
• AMD
• NVIDIA
• ProgramData

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .FACKOFF!

マルウェアが作成する以下のファイルは、脅迫状です。

• {encrypted directory}\read_it.txt
  

<補足>
インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\tmp{ランダム}.tmp.bat → 自身の不正活動を終了し、自身を削除する

マルウェアは、以下のプロセスを追加します。

• %System%\cmd.exe /C vssadmin delete shadows /all /quiet & wmic shadowcopy delete
• %System%\cmd.exe /C wbadmin delete catalog -quiet
• takeown /f \"%System%\smartscreen.exe\" /a
• icacls \"%System%\smartscreen.exe\" /reset → 対象のアプリケーションの所有権を取得し、アクセス制御の一覧をリセットする
• taskkill /im smartscreen.exe /f → 対象のアプリケーションを終了する
• icacls \"%System%\smartscreen.exe\" /inheritance:r /remove * S - 1 - 5 - 32 - 544 * S - 1 - 5 - 11 * S - 1 - 5 - 32 - 545 * S - 1 - 5 - 18 → 指定されたセキュリティ識別子からsmartscreen.exeにアクセスするための権限を削除する
• %User Temp%\SystemPropertiesProtection.exe

情報漏えい

マルウェアは、以下の情報を収集します。

• ユーザ名
• システムロケール
• ウイルス対策製品の一覧
• MACアドレスの一覧
• ホスト名

その他

マルウェアは、以下を実行します。

• 自身の属性をシステムファイル属性（SYSTEM）および隠しファイル属性（HIDDEN）に設定します。
• 感染コンピュータのタイムゾーン（現地時間）が以下の場合は、自身の不正活動を終了します。
  • RU - ロシア
  • KZ - カザフスタン
  • BY - ベラルーシ
  • AM - アルメニア
  • AZ - アゼルバイジャン
  • KG - キルギス
  • MD - モルドバ
  • TJ - タジキスタン
  • TM - トルクメニタン
  • UZ - ウズベキスタン
• 影響を受けるコンピュータのシステム言語が以下の場合、自身の不正活動を終了します。
  • ウクライナ語
  • ベラルーシ語
  • アゼルバイジャン語
  • アルメニア語
  • グルジア語
  • ウズベク語
  • ロシア語
  • カザフ語
• 感染コンピュータ内で以下のネットワーク監視ツールが見つかった場合、自身の不正活動を終了します。
  • HTTPDebuggerBrowser.dll
  • FiddlerCore4.dll
  • RestSharp.dll
  • Titanium.Web.Proxy.dll
• デバッガの存在を確認します。
• 自身が64ビット環境内で実行されているかどうかを確認します。
• 暗号化後に元のファイルを削除します。
• 感染コンピュータ内で以下のMACアドレスのプレフィックスが見つかった場合、自身の不正活動を終了します。
  • 000C29 - VMWare Inc.
  • 001C14 - Cisco Systems
  • 005056 - VMWare Inc.
  • 000569 - Intel
  • 080027 - VMWare, Inc
  • 000001 - Xerox Corporation
• 感染コンピュータ内で以下のGUIDが見つかった場合、自身の不正活動を終了します。
  • 4040CF00-1B3E-486A-B407-FA14C56B6FC0
• ファイルの暗号化後に感染コンピュータを再起動します。
• 感染コンピュータ内で以下のレジストリエントリが見つかった場合、自身の不正活動を終了します。
  • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\Folders
    {データ} = C:\ANYRUN