Ransom.Win32.BLACKSUIT.YPDJB

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• vssadmin delete shadows /all /quiet → used to delete shadow copies
• ping 1.1.1.1 -n 3 -w 5000

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\WLm87eV1oNRx6P3E4Cy9

情報漏えい

マルウェアは、以下の情報を収集します。

• OS Version
• Username
• Hostname
• Number of Processors
• Disk Information

その他

マルウェアは、以下を実行します。

• It encrypts fixed drives, removable drives, and network shares.

マルウェアは、以下のパラメータを受け取ります。

• Required to proceed to its encryption routine:
  • -id {victim ID}
• -path {target path} → specify directory to encrypt
• -ep → define encryption parameter
• -vmonly → encrypt all files
• -logs → display terminal logs
• -stopvm → terminates VM processes
• -fork → creates a child process of itself

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• bootsect.bak
• autorun.inf
• iconcache.db
• thumbs.db
• ntuser.ini
• boot.ini
• bootfont.bin
• ntuser.dat
• ntuser.dat.log
• ntldr
• desktop.ini
• readme.blacksuit.txt

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• {Original filename}.{Original extension}.blacksuit

マルウェアが作成する以下のファイルは、脅迫状です。

• {All available drives}\readme.blacksuit.txt
• {Encrypted directory}\readme.blacksuit.txt
• {malware path}\readme.blacksuit.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• com
• ani
• scr
• drv
• hta
• rom
• bin
• msc
• ps1
• diagpkg
• shs
• adv
• msu
• cp
• prf
• bat
• idx
• mpa
• cmd
• msi
• mod
• ocx
• icns
• ics
• sp
• 386
• lock
• sys
• rtp
• wpx
• diagcab
• theme
• deskthemepack
• msp
• cab
• ldf
• nomedia
• ic
• lnk
• cur
• dll
• nls
• themepack
• msstyles
• hlp
• key
• ico
• exe
• diagcfg
• blacksuit