Ransom.Win32.ANTEFRIGUS.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、感染コンピュータや感染ユーザから特定の情報を収集します。

以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成し実行します。

• C:\Users\Public\Documents\wonsys.exe -> detected as Ransom.Win32.ANTEFRIGUS.A

マルウェアは、以下のプロセスを追加します。

• cmd /c taskkill /F /IM isqlplussvc.exe
• cmd /c taskkill /F /IM xfssvccon.exe
• cmd /c taskkill /F /IM mydesktopservice.exe
• cmd /c taskkill /F /IM ocautoupds.exe
• cmd /c taskkill /F /IM encsvc.exe
• cmd /c taskkill /F /IM tbirdconfig.exe
• cmd /c taskkill /F /IM mydesktopqos.exe
• cmd /c taskkill /F /IM ocomm.exe
• cmd /c taskkill /F /IM dbeng50.exe
• cmd /c taskkill /F /IM sqbcoreservice.exe
• cmd /c taskkill /F /IM excel.exe
• cmd /c taskkill /F /IM infopath.exe
• cmd /c taskkill /F /IM msaccess.exe
• cmd /c taskkill /F /IM mspub.exe
• cmd /c taskkill /F /IM onenote.exe
• cmd /c taskkill /F /IM outlook.exe
• cmd /c taskkill /F /IM powerpnt.exe
• cmd /c taskkill /F /IM steam.exe
• cmd /c taskkill /F /IM thebat.exe
• cmd /c taskkill /F /IM thunderbird.exe
• cmd /c taskkill /F /IM visio.exe
• cmd /c taskkill /F /IM winword.exe
• cmd /c taskkill /F /IM wordpad.exe
• cmd /c taskkill /F /IM notepad.exe
• cmd /c taskkill /F /IM aupis80.exe
• cmd /c taskkill /F /IM avgnt.exe
• cmd /c taskkill /F /IM sql.exe
• cmd /c taskkill /F /IM oracle.exe
• cmd /c taskkill /F /IM ocssd.exe
• cmd /c taskkill /F /IM dbsnmp.exe
• cmd /c taskkill /F /IM synctime.exe
• cmd /c taskkill /F /IM agntsvc.exe
• cmd /c wmic.exe shadowcopy delete
• cmd /c start news.html
• cmd /c {Root Drive}:/CLICK_HERE-{extension}.txt
• cmd /c taskkill /F /IM isqlplussvc.exe
• cmd /c taskkill /F /IM xfssvccon.exe
• cmd /c taskkill /F /IM mydesktopservice.exe
• cmd /c taskkill /F /IM ocautoupds.exe
• cmd /c taskkill /F /IM encsvc.exe
• cmd /c taskkill /F /IM tbirdconfig.exe
• cmd /c taskkill /F /IM mydesktopqos.exe
• cmd /c taskkill /F /IM ocomm.exe
• cmd /c taskkill /F /IM dbeng50.exe
• cmd /c taskkill /F /IM sqbcoreservice.exe
• cmd /c taskkill /F /IM excel.exe
• cmd /c taskkill /F /IM infopath.exe
• cmd /c taskkill /F /IM msaccess.exe
• cmd /c taskkill /F /IM mspub.exe
• cmd /c taskkill /F /IM onenote.exe
• cmd /c taskkill /F /IM outlook.exe
• cmd /c taskkill /F /IM powerpnt.exe
• cmd /c taskkill /F /IM steam.exe
• cmd /c taskkill /F /IM thebat.exe
• cmd /c taskkill /F /IM thunderbird.exe
• cmd /c taskkill /F /IM visio.exe
• cmd /c taskkill /F /IM winword.exe
• cmd /c taskkill /F /IM wordpad.exe
• cmd /c taskkill /F /IM notepad.exe
• cmd /c taskkill /F /IM aupis80.exe
• cmd /c taskkill /F /IM avgnt.exe
• cmd /c taskkill /F /IM sql.exe
• cmd /c taskkill /F /IM oracle.exe
• cmd /c taskkill /F /IM ocssd.exe
• cmd /c taskkill /F /IM dbsnmp.exe
• cmd /c taskkill /F /IM synctime.exe
• cmd /c taskkill /F /IM agntsvc.exe
• cmd /c wmic.exe shadowcopy delete
• cmd /c start news.html
• cmd /c {Root Drive}:/CLICK_HERE-{extension}.txt

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
DefenIfWIn = C:\Users\Public\Documents\wonsys.exe"

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• isqlplussvc.exe
• xfssvccon.exe
• mydesktopservice.exe
• ocautoupds.exe
• encsvc.exe
• tbirdconfig.exe
• mydesktopqos.exe
• ocomm.exe
• dbeng50.exe
• sqbcoreservice.exe
• excel.exe
• infopath.exe
• msaccess.exe
• mspub.exe
• onenote.exe
• outlook.exe
• powerpnt.exe
• steam.exe
• thebat.exe
• thunderbird.exe
• visio.exe
• winword.exe
• wordpad.exe
• notepad.exe
• aupis80.exe
• avgnt.exe
• sql.exe
• oracle.exe
• ocssd.exe
• dbsnmp.exe
• synctime.exe
• agntsvc.exe

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、ファイルをダウンロードします。

• https://{BLOCKED}er.org/1Jgt37

情報漏えい

マルウェアは、以下の情報を収集します。

• Fixed Drives' Total Space and Remaining Space
• Username

ランサムウェアの不正活動

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• windows
• Windows
• C:/intel
• C:/nvidia
• C:/ProgramData
• Google
• boot
• C:/Program Files
• C:/Program Files (x86)
• System Volume Information
• Mozilla
• Tor Browser
• Notepad
• Explorer
• Temp
• temp
• $
• AndroidSDK

マルウェアは、以下の内容を含む脅迫状のテキストファイルを残します。

以下のファイル拡張子を持つファイルについては暗号化しません：

• .md5
• .sha1
• .bin
• .dll
• .obj
• .adv
• .ani
• .big
• .bat
• .cab
• .cmd
• .com
• .cpl
• .cur
• .deskthemepack
• .diagcab
• .diagcfg
• .diagpkg
• .drv
• .hlp
• .icl
• .icns
• .ics
• “idx
• .ldf
• .mod
• .mpa
• .msc
• .msp
• .msstyles
• .msu
• .nls
• .nomedia
• .ocx
• .prf
• .ps1
• .rom
• .rtp
• .scr
• .shs
• .spl
• .sys
• .theme
• .themepack
• .wpx
• .lock
• .key
• .hta
• .msi
• .pck