Ransom.Win32.CRING.C

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、実行後、自身を削除します。

マルウェアが自身の不正活動を実行するためには、特定の引数/パラメータ/コンポーネントが必要になります。もしくは、特定の環境で実行される必要があります。

身代金要求文書のファイルを作成します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• {Malware Filepath}\Go.bat "{Malware Filepath}\{Malware Filename}.exe"
• wmic shadowcopy delete
• bcdedit /set {default} bootstatuspolicy ignoreallfailures
• bcdedit /set {default} recoveryenabled no
• {Malware Filepath}\killme.bat "{Malware Filepath}\{Malware Filename}.exe"

マルウェアは、実行後、自身を削除します。

他のシステム変更

マルウェアは、以下のファイルを削除します。

• {Malware Filepath}\Go.bat
• {Malware Filepath}\killme.bat
• • {Drive Letter} are the following:
    • D:\
    • E:\
    • F:\
    • G:\
    • H:\
  • {Filename} are files that satisfies the following filters:
    • *.VHD
    • *.bac
    • *.bak
    • *.wbcat
    • *.bkf
    • *.set
    • *.win
    • *.dsk
    • Backup*.*
    • backup*.*

プロセスの終了

マルウェアは、感染コンピュータ上で確認した以下のサービスを終了します。

• Services that start with:
  • mssql
  • sql
  • postgresql
  • oracle
  • mysql
  • veeam
  • backup
  • msexchange

作成活動

マルウェアは、以下のファイルを作成します。

• {Malware Filepath}\Go.bat
• {Malware Filepath}\killme.bat

その他

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• .xlsx
• .png
• .fob
• .jp?
• .lic
• .dcm
• .cf?
• .rvt
• .cpp
• .qb?
• .cs
• .sln
• .vb
• .xml
• .dwg
• .edb
• .ndf
• .wk
• .xl?
• .txt
• .doc?
• .md?
• mp?
• .sql
• .bak
• .ora
• .pdf
• .pp?
• .dbf
• .zip
• .rar
• .asp?
• .php
• .jsp?
• .bk?
• .csv
• .7z
• .myd
• .ibd
• _fsm
• _vm
• .db?
• .rpt

マルウェアは、以下を実行します。

• Argument must be equal to "rsa" to proceed in encrypting files
• It writes the following to the command prompt:
  • "What the FUck" → before the encryption routine
  • "EZ Games" → after the encryption routine

マルウェアが自身の不正活動を実行するためには、特定の引数/パラメータ/コンポーネントが必要になります。もしくは、特定の環境で実行される必要があります。

ランサムウェアの不正活動

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• %Windows%

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• {BLOCKED}ackers@tutanota.com.cring

マルウェアが作成する以下のファイルは、脅迫状です。

• %System Root%\!!!deReadMe!!!.rtf
• %Public%\Desktop\!!!deReadMe!!!.rtf
  

<補足>
インストール

マルウェアは、以下のプロセスを追加します。

• {マルウェアのファイルパス}\Go.bat "{マルウェアのファイルパス}\{マルウェアのファイル名}.exe"
• wmic shadowcopy delete
• bcdedit /set {デフォルト} bootstatuspolicy ignoreallfailures
• bcdedit /set {デフォルト} recoveryenabled no
• {マルウェアのファイルパス}\killme.bat "{マルウェアのファイルパス}\{マルウェアのファイル名}.exe"

他のシステム変更

マルウェアは、以下のファイルを削除します。

• {マルウェアのファイルパス}\Go.bat
• {マルウェアのファイルパス}\killme.bat
• • {ドライブレター}には、以下のいずれかが当てはまります。
    • D:\
    • E:\
    • F:\
    • G:\
    • H:\
  • {ファイル名}には、以下のフィルタを満たすファイルが当てはまります。
    • *.VHD
    • *.bac
    • *.bak
    • *.wbcat
    • *.bkf
    • *.set
    • *.win
    • *.dsk
    • Backup*.*
    • backup*.*

プロセスの終了

マルウェアは、感染コンピュータ上で確認した以下のサービスを終了します。

• 以下で始まるサービス：
  • mssql
  • sql
  • postgresql
  • oracle
  • mysql
  • veeam
  • backup
  • msexchange

作成活動

マルウェアは、以下のファイルを作成します。

• {マルウェアのファイルパス}\Go.bat
• {マルウェアのファイルパス}\killme.bat

その他

マルウェアは、以下を実行します。

• ファイルの暗号化を開始するには、引数が「rsa」と等しくなければなりません。
• マルウェアは、コマンドプロンプトに以下を書き込みます。
  • "What the FUck" → 暗号化する前
  • "EZ Games" → 暗号化した後