Ransom.Win32.GRIEF.YPBLU

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを追加します。

• %Application Data%\{Random characters}

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のファイルを作成します。

• %Application Data%\{Random characters}\{Random characters}.dll

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のプロセスを追加します。

• vssadmin.exe Delete Shadows /All /Quiet
• bcdedit.exe /set {default} safeboot minimal
• bcdedit.exe /set {default} recoveryenabled No
• %System%\icacls.exe ":\*" /grant:r Everyone:F /t /c /q -> grant access to the drives it encrypts
• %System%\takeown.exe /F {Original service's executable path}

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{Random characters} = %System%\rundll32.exe %Application Data%\{Random characters}\{Random characters}.dll MzIqsx38gCwocWdP

プロセスの終了

マルウェアは、感染コンピュータ上でプロセスが常駐されていることを確認した場合、以下のいずれかの文字列を含むプロセスまたはサービスを終了します。

• sqlagent
• sophos

その他

マルウェアは、以下を実行します。

• It expects itself to be executed as a service
• It installs itself as a service through modifying a service's ImagePath to point to itself and execute it along with its correct argument
• In these particular samples, there is currently no way to terminate processes. The embedded Process Hacker is not included in the ransomware samples, and it does not enumerate running processes
• It removes connections to network shared resources
• It requires the specific argument in order for it to proceed to its malicious routine:
  • MzIqsx38gCwocWdP
• It copies the executable loading it to the original executable's filepath found in the service's ImagePath

ランサムウェアの不正活動

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• svsho*.exe
• schre*.bat
• V01.lo*
• V01.ch*
• V01res*.jrs
• RacWmi*.sdf
• Web*V01.dat
• default.rdp
• NTUSER.DA*
• *.lnk
• *.ico
• *.ini
• *.msi
• *.chm
• *.sys
• *.hlf
• *.lng
• *.inf
• *.ttf
• *.cmd
• *.LNK
• *.ICO
• *.INI
• *.MSI
• *.CHM
• *.SYS
• *.HLF
• *.LNG
• *.INF
• *.TTF
• *.CMD

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• $RECYCLE.BIN
• $Recycle.Bin
• Caches
• WebCache
• VirtualStore

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .pay0rgrief

マルウェアが作成する以下のファイルは、脅迫状です。

• {encrypted file name}.iwant2survive.html - drops it for every file it encrypts