Ransom.Win32.BLACKSUIT.THEODBC

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• "%System%\vssadmin.exe" Delete Shadows /All /Quiet → used to delete shadow copies
• If -disablesafeboot is passed as an argument:
  • "%System%\bcdedit.exe" /deletevalue {current} safeboot
  • shutdown.exe /r /t 0
• If -delete is passed as an argument:
  • cmd /v/c "set f={Malware File Name}&for /l %l in () do if exist !f! (del /f/a "!f!") else (exit)"

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• {32 byte characters} → Victim ID

その他

マルウェアは、以下を実行します。

• It encrypts files found in the following drives:
  • Fixed Drives
  • Removable Drives
  • Remote Drives
  • RAM Disk
• It uses Windows Restart Manager to unlock files it will encrypt.
• When encrypting network shares, it will check if the IP address starts with the following to ensure that it is encrypting local and non-internet systems:
  • 192.168
  • 10.
  • 100.
  • 172.
• It avoids encrypting the following network shares:
  • ADMIN$
  • IPC$

マルウェアは、以下のパラメータを受け取ります。

• required to proceed to its encryption routine:
  • -name {32 byte characters} → used to define Victim ID
• -percent {0 to 100} → used to define encryption parameter
• -p {directory} → used to specify a target directory to encrypt
• -list {text file} → used to specify a text file containing target directories to encrypt
• -delete → used to delete itself
• -network → used to encrypt network shares
• -local → used to encrypt local drives
• -disablesafeboot → used to disable safeboot
• -noprotect → used to disable mutex creation

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• .BlackSuit
• .blacksuit
• .exe
• .dll
• README.BlackSuit.txt

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• Windows
• ADMIN$
• IPC$

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• {Original File Name}.{Original File Extension}.BlackSuit

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Directory}:\README.BlackSuit.txt
• {All Available Drives}:\README.BlackSuit.txt