Ransom.SH.ESXIARGS.THBOFBC

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

特定のファイル拡張子を持つファイルを暗号化します。 身代金要求文書のファイルを作成します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• /tmp/public.pem ← Public RSA key used to encrypt the key

他のシステム変更

マルウェアは、以下のファイルを削除します。

• /store/packages/vmtools.py
• All .log files
• Itself and its component files

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• VMX related processes

その他

マルウェアは、以下を実行します。

• It requires the following components in order to execute:
  • /tmp/encrypt ← Encryptor ELF executable
  • /tmp/encrypt.sh ← shell script that as the logic for the attack
  • /tmp/motd ← Ransom note in text form
  • /tmp/index.html ← Ransom note in HTML form
• It overwrites /sbin/hostd-probe with /sbin/hostd-probe.bak
• It establishes persistence by adding the following:
  • /bin/auto-backup.sh ← ESXI configuration file
  • Starting an SSH server on host "/etc/init.d/SSH start"
• It executes differently depending on the VMware build version:
  • If build version is 7.0:
    - It modifies and overwrites the contents of /bin/hostd-probe file
  • If build version is not 7.0:
    - It deletes cronjobs
    - It recreates /var/spool/cron/crontabs/root file then deletes the original file

ランサムウェアの不正活動

以下の拡張子を持つファイルを暗号化します：$$ DATA $$

• .vmdk
• .vmx
• .vmxf
• .vmsd
• .vmsn
• .vswp
• .vmss
• .nvram
• .vmem

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .args

マルウェアが作成する以下のファイルは、脅迫状です。

• /etc/motd ← Ransom note in text form
• /usr/lib/vmware/index.html ← Ransom note in HTML form