Ransom.Win32.GLBYTE.THEBCBD

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

特定のフォルダ内のファイルを暗号化します。 身代金要求文書のファイルを作成します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• netsh firewall set opmode mode=disable profile=all
• vssadmin Delete Shadows /all /quiet
• bcdedit /set {default} bootstatuspolicy ignoreallfailures
• bcdedit /set {default} recoveryenabled no
• wmic shadowcopy delete
• wbadmin delete catalog –quiet
• rundll32.exe user32.dll,UpdatePerUserSystemParameters
• %Desktop%\GlitchByte_Decryptor.exe

(註：%Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\Desktop" です。)

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\{76 Random Characters}
{76 Random Characters} = {Random Characters}

マルウェアは、以下のレジストリ値を変更し、デスクトップの壁紙を変更します。

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %Application Data%\GlitchByte.bmp

マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。

• %Application Data%\GlitchByte.bmp
  

作成活動

マルウェアは、以下のファイルを作成します。

• %Application Data%\GlitchByte.bmp

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

その他

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• .accdb
• .bas
• .bmp
• .dib
• .doc
• .docx
• .jpeg
• .jpg
• .log
• .mp
• .mp3
• .mp4
• .png
• .ppt
• .pptx
• .pub
• .rtf
• .txt
• .vbe
• .vbs
• .wav
• .xsl
• .xslx

マルウェアは、以下を実行します。

• It modifies the following files:
  • %System%\drivers\etc\hosts

  to block access to the following URLs:

  • www.malwarebytes.com
  • malwarebytes.com
  • www.bitdefender.com
  • bitdefender.com
  • www.avast.com
  • avast.com
  • www.symantec.com
  • symantec.com
  • www.avast.com
  • avast.com
  • www.virustotal.com
  • virustotal.com
  • www.tria.ge
  • tria.ge
  • www.cuckoo.cert.ee
  • cuckoo.cert.ee
  • www.hybrid-analysis.com
  • hybrid-analysis.com
  • www.crowdstrike.com
  • crowdstrike.com
  • www.go.crowdstrike.com
  • go.crowdstrike.com
• It displays the following on its console:
  

ランサムウェアの不正活動

マルウェアは、以下のディレクトリ内で確認されたファイルを暗号化します。

• C:\

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .GLBT

マルウェアが作成する以下のファイルは、脅迫状です。

• %Desktop%\GlitchByte_Decryptor.exe → detected as Ransom.Win32.GLBYTE.THEBCBD.note
  

<補足>

マルウェアは、以下を実行します。

• 以下のファイルを改ざんします。
  • %System%\drivers\etc\hosts
    
    以下のURLへのアクセスをブロックします。
    • www.malwarebytes.com
    • malwarebytes.com
    • www.bitdefender.com
    • bitdefender.com
    • www.avast.com
    • avast.com
    • www.symantec.com
    • symantec.com
    • www.avast.com
    • avast.com
    • www.virustotal.com
    • virustotal.com
    • www.tria.ge
    • tria.ge
    • www.cuckoo.cert.ee
    • cuckoo.cert.ee
    • www.hybrid-analysis.com
    • hybrid-analysis.com
    • www.crowdstrike.com
    • crowdstrike.com
    • www.go.crowdstrike.com
    • go.crowdstrike.com
  • コンソール上に以下を表示します。
    

  ランサムウェアの不正活動

  マルウェアが作成する以下のファイルは、脅迫状です。

  • %Desktop%\GlitchByte_Decryptor.exe → 「Ransom.Win32.GLBYTE.THEBCBD.note」として検出される