Ransom.Win32.CLOP.THBABAI

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• CLOP#666

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• zoolz.exe
• mysqld-nt.exe
• syntime.exe
• agntsv.exe
• mysqld-opt.exe
• tbirdonfig.exe
• dbeng50.exe
• oautoupds.exe
• thebat.exe
• dbsnmp.exe
• oomm.exe
• thebat64.exe
• ensv.exe
• ossd.exe
• thunderbird.exe
• exel.exe
• onenote.exe
• visio.exe
• firefoxonfig.exe
• orale.exe
• winword.exe
• infopath.exe
• outlook.exe
• wordpad.exe
• isqlplussv.exe
• powerpnt.exe
• xfssvon.exe
• msaess.exe
• sqboreservie.exe
• tmlisten.exe
• msftesql.exe
• sqlagent.exe
• PNTMon.exe
• mspub.exe
• sqlbrowser.exe
• NTAoSMgr.exe
• mydesktopqos.exe
• sqlservr.exe
• Ntrtsan.exe
• mydesktopservie.exe
• sqlwriter.exe
• mbamtray.exe
• mysqld.exe
• steam.exe
• zoolz.exe
• mysqld-nt.exe
• syntime.exe
• agntsv.exe
• mysqld-opt.exe
• tbirdonfig.exe
• dbeng50.exe
• oautoupds.exe
• thebat.exe
• dbsnmp.exe
• oomm.exe
• thebat64.exe
• ensv.exe
• ossd.exe
• thunderbird.exe
• exel.exe
• onenote.exe
• visio.exe
• firefoxonfig.exe
• orale.exe
• winword.exe
• infopath.exe
• outlook.exe
• wordpad.exe
• isqlplussv.exe
• powerpnt.exe
• xfssvon.exe
• msaess.exe
• sqboreservie.exe
• tmlisten.exe
• msftesql.exe
• sqlagent.exe
• PNTMon.exe
• mspub.exe
• sqlbrowser.exe
• NTAoSMgr.exe
• mydesktopqos.exe
• sqlservr.exe
• Ntrtsan.exe
• mydesktopservie.exe
• sqlwriter.exe
• mbamtray.exe
• mysqld.exe
• steam.exe

その他

マルウェアは、以下を実行します。

• Encrypts files that can be found in the following drive types:
  
  • Fixed Drives
  • Removable Drives
  • Network Drives
• Will Encrypt all files and directories except those containing the following strings:
  
  • Chrome
  • Mozilla
  • Recycle.bin
  • Microsoft
  • AhnLab
  • Windows
  • All Users
  • ProgramData
  • Program Files (x86)
  • PROGRAM FILES (X86)
  • Program Files
  • PROGRAM FILES
  • Desktop
  • DESKTOP
• Will encrypt all file types exept the files/extensions that contains the following strings:
  
  • ClopReadMe.txt
  • ntldr
  • NTLDR
  • boot.ini
  • BOOT.INI
  • ntuser.ini
  • NTUSER.INI
  • AUTOEXEC.BAT
  • autoexec.bat
  • .Clop
  • NTDETECT.COM
  • ntdetect.com
  • .dll
  • .DLL
  • .exe
  • .EXE
  • .sys
  • .SYS
  • .OCX
  • .ocx
  • .LNK
  • .lnk
• After 300 seconds will encrypt the directory that contains the malicious file.

ランサムウェアの不正活動

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• {File Name}.{File Extension}.Clop

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Directory}\ClopReadMe.txt
  

その他

マルウェアは、以下を実行します。

• 以下のドライブ内に存在するファイルを暗号化します。
  • 固定ドライブ
  • リムーバブルドライブ
  • ネットワークドライブ
• 以下の文字列を含むものを除くすべてのファイルおよびディレクトリを暗号化します。
  • Chrome
  • Mozilla
  • Recycle.bin
  • Microsoft
  • AhnLab
  • Windows
  • All Users
  • ProgramData
  • Program Files (x86)
  • PROGRAM FILES (X86)
  • Program Files
  • PROGRAM FILES
  • Desktop
  • DESKTOP
• 以下の文字列を含むファイル/拡張子を除くすべてのファイルタイプを暗号化します。
  • ClopReadMe.txt
  • ntldr
  • NTLDR
  • boot.ini
  • BOOT.INI
  • ntuser.ini
  • NTUSER.INI
  • AUTOEXEC.BAT
  • autoexec.bat
  • .Clop
  • NTDETECT.COM
  • ntdetect.com
  • .dll
  • .DLL
  • .exe
  • .EXE
  • .sys
  • .SYS
  • .OCX
  • .ocx
  • .LNK
  • .lnk
• 300秒後に不正ファイルを含むディレクトリを暗号化します。