Ransom.Win32.DARKSIDE.FAIO

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %All Users Profile%\{Generated Extension}.ico → Icon for encrypted files.
• %All Users Profile%\{Generated Extension}.BMP → Used as wallpaper.

(註：%All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。)

マルウェアは、以下のプロセスを追加します。

• {Malware Directory}\{Malware Filename} -work worker{Number} job{Number}-{4-Digit Number} → For every drive that it will encrypt.

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\{32-Hex Characters generated from Machine GUID}

他のシステム変更

マルウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
.{Generated Extension}
(Default) = {Generated Extension}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
{Generated Extension}\DefaultIcon
(Default) = %All Users Profile%\{Generated Extension}.ico

マルウェアは、以下のレジストリ値を変更し、デスクトップの壁紙を変更します。

HKEY_USERS\{USER SID}\Control Panel\
Desktop
Wallpaper = %All Users Profile%\{Generated Extension}.BMP

HKEY_USERS\{USER SID}\Control Panel\
Desktop
WallpaperStyle = 10

マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。

プロセスの終了

マルウェアは、感染コンピュータ上で確認した以下のサービスを終了します。

• vss
• sql
• svc$
• memtas
• mepocs
• sophos
• veeam
• backup
• GxVss
• GxBlr
• GxFWD
• GxCVD
• GxCIMgr

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• sql
• oracle
• ocssd
• dbsnmp
• synctime
• agntsvc
• isqlplussvc
• xfssvccon
• mydesktopservice
• ocautoupds
• encsvc
• firefox
• tbirdconfig
• mydesktopqos
• ocomm
• dbeng50
• sqbcoreservice
• excel
• infopath
• msaccess
• mspub
• onenote
• outlook
• powerpnt
• steam
• thebat
• thunderbird
• visio
• winword
• wordpad
• notepad

情報漏えい

マルウェアは、以下の情報を収集します。

• Username
• Computer Name
• Domain Name
• OS Information (Type, Version, Architecture)
• System Language
• Drives Information (Drive Names, Drive Space)

情報収集

マルウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• bar{BLOCKED}ees.com

その他

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
.{Generated Extension}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
{Generated Extension}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
{Generated Extension}\DefaultIcon

マルウェアは、以下を実行します。

• It checks computer's language and will terminate itself if any of the following language is detected:
  • Arabic
  • Armenian
  • Azerbaijani
  • Belarusian
  • Georgian
  • Kazakh
  • Kyrgyz
  • Romanian
  • Russian
  • Tajik
  • Tatar
  • Turkmen
  • Ukranian
  • Uzbek
• It checks if it is running with a privilege level that is on SYSTEM level. If it is not, it will do the following:
  • If it is running on a non-administrator account and the os version is Windows 7 or above it will use the Elevated COM Object UAC Bypass technique to execute an instance of itself with SYSTEM level privilege.
  • If it is running on an administrator account it would add the following service then start and use the service to execute an instance of itself with SYSTEM level privilege. The service is deleted after it is used.
    • Service Name: .{Generated Extension}
    • Binary Pathname: {Malware Directory}\{Malware Filename}
• It searches for files to encrypt in fixed drives, removable drives, and network resources.
• It empties the recycle bin.
• It deletes shadow copies.

ただし、情報公開日現在、このWebサイトにはアクセスできません。

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• autorun.inf
• boot.ini
• bootfont.bin
• bootsect.bak
• desktop.ini
• iconcache.db
• ntldr
• ntuser.dat
• ntuser.dat.log
• ntuser.ini
• thumbs.db
• README.{Generated Extension}.TXT

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• $recycle.bin
• config.msi
• $windows.~bt
• $windows.~ws
• windows
• appdata
• application data
• boot
• google
• mozilla
• program files
• program files (x86)
• programdata
• system volume information
• tor browser
• windows.old
• intel
• msocache
• perflogs
• x64dbg
• public
• all users
• default

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .{8-Hex Characters generated from Machine GUID}

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Directory}\README.{Generated Extension}.TXT
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .386
• .adv
• .ani
• .bat
• .bin
• .cab
• .cmd
• .com
• .cpl
• .cur
• .deskthemepack
• .diagcab
• .diagcfg
• .diagpkg
• .dll
• .drv
• .exe
• .hlp
• .icl
• .icns
• .ico
• .ics
• .idx
• .ldf
• .lnk
• .mod
• .mpa
• .msc
• .msp
• .msstyles
• .msu
• .nls
• .nomedia
• .ocx
• .prf
• .ps1
• .rom
• .rtp
• .scr
• .shs
• .spl
• .sys
• .theme
• .themepack
• .wpx
• .lock
• .key
• .hta
• .msi
• .pdb
• .{Generated Extension}