Ransom.Win32.COBAIN.F

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

特定のファイル拡張子を持つファイルを暗号化します。 身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• {Encrypted Folders}\__lock_XXX__ → contains process ID of the executed malware process and victim ID
• %ProgramData%\96288ac666485638d133ea9d874c2f265df81e8ad54896d0232511e39af8f764 → contains victim ID

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
{random characters} = {Malware File Path}\{Malware File Name}.exe 96288ac666485638d133ea9d874c2f265df81e8ad54896d0232511e39af8f764

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random characters} = {Malware File Path}\{Malware File Name}.exe 96288ac666485638d133ea9d874c2f265df81e8ad54896d0232511e39af8f764

その他

マルウェアは、以下を実行します。

• It encrypts files found in the following drive types:
  • Fixed Drive
  • Removable Drive
  • Network Drive
• If a file to be encrypted is found to have an existing process, it will try to terminate this process.

ランサムウェアの不正活動

以下の拡張子を持つファイルを暗号化します：$$ DATA $$

• {Original File Name}.{Original File Extension}.360

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• bootmgr
• NTUSER.DAT
• page{anything}.sys
• swap{anything}.sys

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• %ProgramData%
• %Windows%
• AnyDesk
• Common Files
• Embedded Lockdown Manager
• Internet Explorer
• MSBuild
• Microsoft.NET
• Oray
• Reference Assemblies
• Users\{anything}\Microsoft Help
• Users\{anything}\Microsoft
• Users\{anything}\Package Cache
• Windows Defender
• Windows Defender Advanced Threat Protection
• Windows Journal
• Windows Mail
• Windows Media Player
• Windows Multimedia Platform
• Windows NT
• Windows Photo Viewer
• Windows Portable Devices
• Windows Security
• Windows Sidebar
• WindowsPowerShell

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 . %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Folders}\!_INFO.txt
• %Desktop%\!_INFO.txt
• 
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .dll
• .sys
• .4dd
• .4dl
• .accdb
• .accdc
• .accde
• .accdr
• .accdt
• .accft
• .adb
• .ade
• .adf
• .adp
• .alf
• .arm
• .arz
• .ask
• .bak
• .bson
• .btr
• .cat
• .cdb
• .ckp
• .cma
• .cnf
• .cpd
• .crypt12
• .crypt8
• .crypt9
• .dacpac
• .dad
• .dadiagrams
• .daschema
• .db
• .db-shm
• .db-wal
• .db3
• .dbc
• .dbf
• .dbs
• .dbt
• .dbv
• .dbx
• .dcb
• .dct
• .dcx
• .ddl
• .dlis
• .dmp
• .dp1
• .dqy
• .dsk
• .dsn
• .dtsx
• .dxl
• .eco
• .ecx
• .edb
• .epim
• .fcd
• .fdb
• .fic
• .fm5
• .fmp
• .fmp12
• .fmpsl
• .fol
• .fp3
• .fp4
• .fp5
• .fp7
• .fpt
• .frm
• .gdb
• .grdb
• .gwi
• .hdb
• .his
• .ib
• .ibc
• .ibd
• .ibz
• .idb
• .ihx
• .ism
• .itdb
• .itw
• .jet
• .json
• .jtx
• .kdb
• .kexi
• .kexic
• .kexis
• .ldf
• .lgc
• .lwx
• .maf
• .maq
• .mar
• .marshal
• .mas
• .mav
• .mbk
• .mdb
• .mdf
• .mpd
• .mrg
• .mud
• .mwb
• .myd
• .myi
• .mysql
• .ndf
• .nnt
• .nrmlib
• .ns2
• .ns3
• .ns4
• .nsf
• .nv
• .nv2
• .nwdb
• .nyf
• .odb
• .opt
• .oqy
• .ora
• .orx
• .owc
• .p96
• .p97
• .pan
• .pdb
• .pdm
• .phl
• .pnz
• .qbquery
• .qry
• .qvd
• .rbf
• .rctd
• .rod
• .rodx
• .rpd
• .rsd
• .rul
• .sal
• .sas7bdat
• .sbf
• .scx
• .sdb
• .sdc
• .sdf
• .sis
• .sld
• .smd
• .spq
• .sql
• .sqlite
• .sqlite3
• .sqlitedb
• .sqr
• .te
• .teacher
• .tmd
• .tps
• .trc
• .trm
• .udb
• .udl
• .usr
• .v12
• .vis
• .vpd
• .vvv
• .wdb
• .wmdb
• .wrk
• .xdb
• .xld
• .xmlff