Ransom.Win32.BTCAZADI.THDBIBD

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• %System%cmd.exe /c vssadmin.exe delete shadows /all /quiet
• %System%cmd.exe /c ping 127.0.0.1 -n 4 > nul & del {Malware File Name}.{Malware File Extension} - if selfdel parameter is used

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\SENATORMutex

作成活動

マルウェアは、以下のファイルを作成します。

• {Malware File Path}\SENATOR.txt → Contains log activities

情報漏えい

マルウェアは、以下のパラメータを受け取ります。

• -path → Used to specify the path to encrypt
• -ratio → Used to specify the encryption ratio
• -nomutex → Used to disable mutex creation
• -nonetdrive → Used to disable encryption of network drives
• -selfdel → Used to delete itself after execution

その他

マルウェアは、以下を実行します。

• It sets the current process priority to highest
• It empties the Recycled Bin
• By default, it encrypts removable, fixed, and remote drives
• It avoids encrypting files with the following file names:
  • autorun.inf
  • boot.ini
  • bootfont.bin
  • bootmgr
  • bootsect.bak
  • desktop.ini
  • iconcache.db
  • ntldr
  • ntuser.dat
  • ntuser.dat.log
  • ntuser.ini
  • SENATOR ENCRYPTED.TXT
  • SENATOR.TXT
  • thumbs.db

ランサムウェアの不正活動

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• $RECYCLE.BIN
• $Windows.~bt
• $windows.~ws
• All Users
• Boot
• Config.Msi
• Default
• google
• Intel
• microsoft
• Microsoft Visual Studio 16.0
• MSOCache
• PerfLogs
• Public
• System Volume Information
• tor browser
• Windows
• windows nt
• windows.old
• yandex

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• {Original File Name}.{Original Extension}.EMAIL=senatorrans@gmail.com]ID=[{Decryption ID}].SENATOR

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted File Path}\SENATOR_ENCRYPTED.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .drv
• .efi
• .lnk
• .msi
• .SENATOR
• .sys

<補足>
インストール

マルウェアは、以下のプロセスを追加します。

• %System%cmd.exe /c vssadmin.exe delete shadows /all /quiet
• %System%cmd.exe /c ping 127.0.0.1 -n 4 > nul & del {マルウェアのファイル名}.{マルウェアのファイル拡張子} - パラメータ「selfdel」が使用された場合

作成活動

マルウェアは、以下のファイルを作成します。

• {マルウェアのファイルパス}\SENATOR.txt → ログ・アクティビティを含む

情報漏えい

マルウェアは、以下のパラメータを受け取ります。

• -path → 暗号化するパスの指定に使用される
• -ratio → 暗号化の割合指定に使用される
• -nomutex → Mutexの作成の無効化に使用される
• -nonetdrive → ネットワークドライブの暗号化の無効化に使用される
• -selfdel → 実行後、自身の削除に使用される

その他

マルウェアは、以下を実行します。

• 現在のプロセスの優先度を最高に設定します。
• ごみ箱を空にします。
• デフォルトでは、リムーバブルドライブ、固定ドライブ、リモートドライブを暗号化します。
• 以下のファイル名を持つファイルの暗号化はしません。
  • autorun.inf
  • boot.ini
  • bootfont.bin
  • bootmgr
  • bootsect.bak
  • desktop.ini
  • iconcache.db
  • ntldr
  • ntuser.dat
  • ntuser.dat.log
  • ntuser.ini
  • SENATOR ENCRYPTED.TXT
  • SENATOR.TXT
  • thumbs.db