Ransom.Win32.BTCAZADI.THLODBC

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• cmd.exe /c vssadmin.exe delete shadows /all /quiet
• cmd.exe /c ping 127.0.0.1 -n 4 > nul & del \"{Malware File name}\" → if -selfdel is used

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\ELECTRONICMutex

作成活動

マルウェアは、以下のファイルを作成します。

• {Malware File Path}\ELECTRONIC.CPP → Contains log activities

その他

マルウェアは、以下を実行します。

• Empty Recycled Bin
• By default, it encrypts removable, fixed, and remote drives
• It uses the Windows Restart Manager API to close processes or shut down Windows services that may be keeping a file open and preventing encryption.

マルウェアは、以下のパラメータを受け取ります。

• -path → Specify the path to encrypt
• -ratio → Encryption ratio
• -nomutex → Execute without generating a mutex
• -nonetdrive → Exclude network drive from encryption
• -selfdel → Delete itself after execution

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• Ntldr
• Ntuser.dat
• Bootsect.bak
• Ntuser.dat.log
• Autorun.inf
• Thumbs.db
• Iconcache.db
• Bootfont.bin
• Boot.ini
• Desktop.ini
• Ntuser.ini
• Bootmgr
• ELECTRONIC.CPP
• README ELECETRONICS.txt

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• Windows
• $windows.~bt
• $Windows.!ws
• Windows.old
• Windows nt
• All Users
• Public
• Boot
• Intel
• PerfLogs
• System Volume Information
• MSOCache
• $RECYCLE.BIN
• Default
• Config.Msi
• Tor browser
• Microsoft
• Google
• Yandex
• Microsoft Visual Studio 16.0

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .EMAIL=[{BLOCKED}nicrans@gmail.com ]ID=[{Generated ID}].ELECTRONIC

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Directory}\README ELECTRONIC.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .sys
• .drv
• .efi
• .msi
• .lnk
• .ELECTRONIC