Ransom.Win32.BACUCRYPT.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• /c del c:\{Malware File Path}>>NUL

プロセスの終了

マルウェアは、感染コンピュータ上で確認した以下のサービスを終了します。

• MySQL
• MySQL80
• SQLSERVERAGENT
• MSSQLSERVER
• SQLWriter
• SQLTELEMETRY
• MSDTC
• SQLBrowser
• vmcompute
• vmms
• MSExchangeUMCR
• MSExchangeUM
• MSExchangeTransportLogSearch
• MSExchangeTransport
• MSExchangeThrottling
• MSExchangeSubmission
• MSExchangeServiceHost
• MSExchangeRPC
• MSExchangeRepl
• MSExchangePOP3BE
• MSExchangePop3
• MSExchangeNotificationsBroker
• MSExchangeMailboxReplication
• MSExchangeMailboxAssistants
• MSExchangeIS
• MSExchangeIMAP4BE
• MSExchangeImap4
• MSExchangeHMRecovery
• MSExchangeHM
• MSExchangeFrontEndTransport
• MSExchangeFastSearch
• MSExchangeEdgeSync
• MSExchangeDiagnostics
• MSExchangeDelivery
• MSExchangeDagMgmt
• MSExchangeCompliance
• MSExchangeAntispamUpdate

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• sqlagent.exe
• sqlservr.exe
• sqlwriter.exe
• sqlceip.exe
• msdtc.exe
• sqlbrowser.exe
• vmwp.exe
• vmsp.exe
• outlook.exe
• Microsoft.Exchange.Store.Worker.exe

その他

マルウェアは、以下を実行します。

• It terimnates if the machine supports the following system language:
  • Russian
• It only encrypts local volumes with size larger than 1GB
• Files are encrypted in 1 MB chunks, and the number of bytes skipped depends on the file's size.
  • File Size: Less than 2 MB
  • Chunk Size: All the file content
  • Skipped Size: 0 MB
  • File Size: Less than 10 MB
  • Chunk Size: 1 MB
  • Skipped Size: 4 MB
  • File Size: Less than 50 MB
  • Chunk Size: 1 MB
  • Skipped Size: 8 MB
  • File Size: Less than 200 MB
  • Chunk Size: 1 MB
  • Skipped Size: 16 MB
  • File Size: Less than 10 GB
  • Chunk Size: 1 MB
  • Skipped Size: 200 MB
  • File Size: More than 10 GB
  • Chunk Size: 1 MB
  • Skipped Size: 500 MB

  マルウェアは、以下のパラメータを受け取ります。

  • network - retrieves address resolution protocol
  • local - Encrypts every local volume in the machine
  • {Target Path} - Encrypts the specified path
  • {Target IP} - Encrypts the specified IP Address

  ランサムウェアの不正活動

  マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

  • \windows\
  • \program files\microsoft office\
  • \program files (x86)\microsoft office\
  • \program files\avs\
  • \program files (x86)\avs\
  • \$recycle.bin\
  • \boot\
  • \recovery\
  • \system volume information\
  • \msocache\
  • \users\all users\
  • \users\default user\
  • \users\default\
  • \temp\
  • \inetcache\
  • \google\

  マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

  • .cuba

  マルウェアが作成する以下のファイルは、脅迫状です。

  • {Encrypted Directory}\!! READ ME !!.txt
    
    

  以下のファイル拡張子を持つファイルについては暗号化しません：

  • .exe
  • .dll
  • .sys
  • .ini
  • .lnk
  • .vbm
  • .cuba