Ransom.Win32.GARRANTYCRYPT.C

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Application Data%\_uninstalling_.png → contains victims unique id
• %User Temp%\{random}.tmp.jpg → image to be set as wallpaper after encryption

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のプロセスを追加します。

• %Windows%\sysnative\vssadmin.exe delete shadows /all /quiet
• %Windows%\sysnative\cmd.exe /c bcdedit /set {current} bootstatuspolicy ignoreallfailures
• %Windows%\sysnative\cmd.exe /c bcdedit /set {current} recoveryenabled no
• %Windows%\sysnative\cmd.exe /c netsh advfirewall set allprofiles state off
• %System%\cmd.exe /c timeout 1 && del {malware filename} >> NUL

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

他のシステム変更

マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• msftesql.exe
• sqlagent.exe
• sqlbrowser.exe
• sqlservr.exe
• sqlwriter.exe
• oracle.exe
• ocssd.exe
• dbsnmp.exe
• synctime.exe
• agntsvc.exe
• mydesktopqos.exe
• isqlplussvc.exe
• xfssvccon.exe
• mydesktopservice.exe
• ocautoupds.exe
• agntsvc.exe
• agntsvc.exe
• agntsvc.exe
• encsvc.exe
• firefoxconfig.exe
• tbirdconfig.exe
• ocomm.exe
• mysqld.exe
• mysqld-nt.exe
• mysqld-opt.exe
• dbeng50.exe
• sqbcoreservice.exe
• excel.exe
• infopath.exe
• msaccess.exe
• mspub.exe
• onenote.exe
• outlook.exe
• powerpnt.exe
• steam.exe
• thebat.exe
• thebat64.exe
• thunderbird.exe
• visio.exe
• winword.exe
• wordpad.exe
• sqlbrowser.exe
• sqlservr.exe
• TNSLSNR.EXE
• mysqld.exe
• MsDtsSrvr.exe
• sqlceip.exe
• msmdsrv.exe
• mpdwsvc.exe
• fdlauncher.exe
• Launchpad.exe
• chrome.exe
• oracle.exe
• devenv.exe
• PerfWatson2.exe
• ServiceHubHostNodex86.exe
• Node.exe
• MicrosoftVisualStudioWebHost.exe
• Lightshot.exe
• netbeans64.exe
• spnsrvnt.exe
• sntlsrtsrvr.exe
• w3wp.exe
• TeamViewer_Service.exe
• TeamViewer.exe
• SecomSDK.exe
• schedul2.exe
• schedhlp.exe
• adm_tray.exe
• EXCEL.EXE
• MSACCESS.EXE
• OUTLOOK.EXE
• POWERPNT.EXE
• AnyDesk.exe
• Microsoft.SqlServer.IntegrationServices.MasterServiceHost.exe
• Microsoft.SqlServer.IntegrationServices.WorkerAgentServiceHost.exe

その他

マルウェアは、以下を実行します。

• Checks if the User uses the following languages:
  • Kazakh
  • Belarusian
  • Tajik
  • Kirghiz; Kyrgyz
  • Tatar
  • Azerbaijani
  • Armenian
  The malware will terminate if there is a match

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• #Decrypt#.txt
• _uninstalling_.png

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• Windows

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .horseleader

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Folder}\#Decrypt#.txt