Ransom.Win32.AGENDA.RY

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを追加します。

• %Temp%\QLOG

(註：%Temp%フォルダは、一時的にファイルが保存されるフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Windows\Temp" です。.)

マルウェアは、以下のファイルを作成します。

• %Temp%\QLOG\ThreadId(Number).LOG

(註：%Temp%フォルダは、一時的にファイルが保存されるフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Windows\Temp" です。.)

マルウェアは、以下のプロセスを追加します。

• """{Malware file path}"" --password {String} --escalated --parent-sid ""S-1-5-21-2019512041-42308"
• "cmd" /C fsutil behavior set SymlinkEvaluation R2R:1
• "cmd" /C fsutil behavior set SymlinkEvaluation R2L:1
• "cmd" /C net use
• "cmd" /C wmic service where name='vss' call ChangeStartMode Manual
• "cmd" /C net start vss
• "cmd" /C vssadmin.exe delete shadows /all /quiet
• "cmd" /C net stop vss
• "cmd" /C wmic service where name='vss' call ChangeStartMode Disabled
• "powershell" $logs = Get-WinEvent -ListLog * | Where-Object {$_.RecordCount} | Select-Object -ExpandProperty LogName ; ForEach ( $l in $logs | Sort | Get-Unique ) {[System.Diagnostics.Eventing.Reader.EventLogSession]::GlobalSession.ClearLog($l)}

他のシステム変更

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
EnableLinkedConnections = 1

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\LanmanServer\Parameters
MaxMpxCt = 65535

プロセスの終了

マルウェアは、感染コンピュータ上で確認した以下のサービスを終了します。

• (.*?)sql(.*?).
• acronisagent
• acrsch2svc
• backup
• backupexecagentaccelerator
• backupexecagentbrowser
• backupexecdivecimediaservice
• backupexecjobengine
• backupexecmanagementservice
• backupexecrpcservice
• backupexecvssprovider
• gxblr
• gxcimgr
• gxclmgrs
• gxcvd
• gxfwd
• gxmmm
• gxvss
• gxvsshwprov
• memtas
• mepocs
• msexchange
• msexchange
• msexchange\$
• mvarmor
• mvarmor64
• pdvfsservice
• qbcfmonitorservice
• qbdbmgrn
• qbidpservice
• sap
• sap\$
• sapd\$
• saphostcontrol
• saphostexec
• sapservice
• sophos
• sql
• veeam
• veeamdeploymentservice
• veeamnfssvc
• veeamtransportsvc
• vmms
• vsnapvss
• vss
• wsbexchange

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• agntsvc
• avagent
• avscc
• bedbh
• benetns
• bengien
• beserver
• cagservice
• cvd
• cvfwd
• cvmountd
• cvods
• dbeng50
• dbsnmp
• dellsystemdetect
• encsvc
• enterpriseclient
• excel
• firefox
• infopath
• isqlplussvc
• msaccess
• mspub
• mvdesktopservice
• mydesktopqos
• mydesktopservice
• notepad
• ocautoupds
• ocomm
• ocssd
• onenote
• oracle
• outlook
• powerpnt
• pvlsvr
• qbcfmonitorservice
• qbdbmgrn
• qbidpservice
• raw_agent_svc
• sap
• saphostexec
• saposcol
• sapstartsrv
• sqbcoreservice
• sql
• steam
• synctime
• tbirdconfig
• teamviewer
• teamviewer_service
• thebat
• thunderbird
• tv_w32
• tv_x64
• veeamdeploymentsvc
• veeamnfssvc
• veeamtransportsvc
• visio
• vmcompute
• vmms
• vmwp
• vsnapvss
• vxmon
• winword
• wordpad
• xfssvccon

その他

マルウェアは、以下を実行します。

• It terminates itself if it detects that the sample is being executed within a virtual environment.
• It requires the correct input password to proceed in its intended routine.
• Checks for the presence of the following processes:
  • wininit.exe
  • winlogon.exe
  • lsass.exe

マルウェアは、以下のパラメータを受け取ります。

• --password {String} → Password to enter landing.
• --paths {Directory} → Defines the path that parses directories; if this flag is used and left empty, all directories will be scanned.
• --ips {IP Addresses} → Allows for providiing IP addresses.
• --exclude {Directory} → Excluded directories for encryption.
• --timer → Sets a time delay before execution.
• --safe → Restart in safe mode.
• --escalated → Execute the sample with admin privelege.
• --parent-sid → Sets the Security Identifier
• --no-domain → Disable encyption of domain area.
• --no-network → Disable ecnryption of network area.
• --no-ef → Disable extension filter.
• --no-ff → Disable file filter.
• --no-df → Disable directory filter.
• --no-proc → Processes will not be terminated protocol driver not attached.
• --no-service → Services will not be stopped.
• --debugspread
• --kill-cluster
• --impersonate
• --force
• --print-image
• --print-delay
• --spreads
• --spread-vcenter
• --spread-process
• --no-local
• --no-extension
• --no-wallpaper
• --no-delete
• --no-destruct
• --no-zero
• --no-escalate

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• #recycle
• #recycle
• autorun.inf
• autorun.inf
• autorun.ini
• boot.ini
• boot.ini
• bootfont.bin
• bootfont.bin
• bootmgfw.efi
• bootmgfw.efi
• bootmgr
• bootmgr
• bootmgr.efi
• bootmgr.efi
• bootsect.bak
• bootsect.bak
• desktop.ini
• desktop.ini
• iconcache.db
• iconcache.db
• ntldr
• ntldr
• ntuser.dat
• ntuser.dat
• ntuser.dat.log
• ntuser.dat.log
• ntuser.ini
• ntuser.ini
• thumbs.db
• thumbs.db

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• $recycle.bin
• $windows.~bt
• $windows.~ws
• admin$
• admin$
• appdata
• appdata
• application data
• boot
• boot
• config.msi
• google
• intel
• ipc$
• mozilla
• msocache
• netlogon
• perflogs
• programdata
• system volume information
• sysvol
• tor browser
• windows
• windows
• windows.old
• windows.old

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• {Original filename}.{Original Extension}.VayvEy6cPo.1

マルウェアが作成する以下のファイルは、脅迫状です。

• {All Available Directories}\README-RECOVER-VayvEy6cPo.txt
  
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• 386
• adv
• ani
• bat
• bin
• cmd
• com
• cpl
• cur
• deskthemepack
• diagcab
• diagcfg
• diapkg
• dll
• drv
• exe
• hlp
• hta
• icl
• icns
• ico
• ics
• idx
• key
• lnk
• lock
• mod
• mpa
• msc
• msi
• msp
• msstyles
• msu
• nls
• nomedia
• ocx
• pdb
• prf
• ps1
• rom
• rtp
• scr
• shs
• spl
• sys
• theme
• themepack
• VayvEy6cPo
• wpx