Ransom.Win32.HELDOWN.THJAGBD

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

特定のフォルダ内のファイルを暗号化します。 身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %ProgramData%\xx.ico
• %ProgramData%\1.bat

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

マルウェアは、以下のプロセスを追加します。

• cmd /c wmic shadowcopy delete /noninteractive
• cmd /c "vssadmin Delete Shadows /All /Quiet"
• cmd /c %ProgramData%\1.bat
• ping 127.0.0.1 -n 2
• taskkill /f /im sql*
• taskkill /f /im oracle*
• taskkill /f /im mysq*
• taskkill /f /im veeam*
• taskkill /f /im firefox*
• taskkill /f /im excel*
• taskkill /f /im msaccess*
• taskkill /f /im onenote*
• taskkill /f /im outlook*
• taskkill /f /im powerpnt*
• taskkill /f /im winword*
• taskkill /f /im wuauclt*
• cmd /c "taskkill /f /im cmd.exe & taskkill /f /im conhost.exe"
• cmd /c "ping 127.0.0.1 & del %ProgramData%\1.bat & del {Malware File Path}\{Malware File Name} & shutdown -r -f -t 0"

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

他のシステム変更

マルウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\Classes\.uQlf
(Default) = uQlfIcon

HKEY_LOCAL_MACHINE\Classes\uQlfIcon\
DefaultIcon
(Default) = %ProgramData%\xx.ico

マルウェアは、インストールの過程で、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\Classes
uQlfIcon =

HKEY_LOCAL_MACHINE\Classes
.uQlf =

プロセスの終了

マルウェアは、感染コンピュータ上で確認した以下のサービスを終了します。

• backup
• GxBlr
• GxCIMgr
• GxCVD
• GxFWD
• GxVss
• memtas
• mepocs
• msexchange
• sophos
• sql
• svc$
• veeam
• vss

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• excel
• firefox
• msaccess
• mysq
• onenote
• oracle
• outlook
• powerpnt
• veeam
• winword
• wuauclt

その他

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• .ldf
• .mdf
• .pko
• Extensions not in the whitelist

マルウェアは、以下を実行します。

• It changes the encrypted file icon to the following image:
  
• It encrypts network shares.

ランサムウェアの不正活動

マルウェアは、以下のディレクトリ内で確認されたファイルを暗号化します。

• Program Files\Microsoft SQL Server
• Program Files (x86)\Microsoft SQL Server
• Folders not in the whitelist

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• autorun.inf
• boot.ini
• bootfont.bin
• bootmgr
• bootsect.bak
• d3d9caps.dat
• desktop.ini
• GDIPFONTCACHEV1.DAT
• iconcache.db
• ntldr
• ntuser.dat
• ntuser.dat.log
• ntuser.ini
• thumbs.db

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• $recycle.bin
• $windows.~bt
• $windows.~ws
• all users
• appdata
• boot
• config.msi
• default
• inetpub
• intel
• microsoft
• msocache
• perflogs
• program files
• program files (x86)
• programdata
• public
• system volume information
• tor browser
• windows
• windows.old
• x64dbg

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .uQlf

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Path}\Readme.uQlf.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .386
• .adv
• .AlHOqPJT
• .ani
• .azGOWrO
• .bat
• .bfKPKp
• .bin
• .BNNAlE
• .BodtTcy
• .bSzsD
• .BUWSMiK
• .cab
• .CDPhao
• .CgoPb
• .cKFNxjY
• .ckyxN
• .CKzE
• .cmd
• .com
• .cpl
• .CQeew
• .cur
• .DdfoPwvC
• .DEjmSDQe
• .deskthemepack
• .diagcab
• .diagcfg
• .diagpkg
• .dll
• .dMOAgi
• .dmwe
• .drv
• .DuWP
• .eiowF
• .EKhdzKM
• .eObbg
• .euBqJW
• .eucHUnd
• .exe
• .exTln
• .fHAJkKFD
• .fHrjx
• .fNar
• .FpnUh
• .fXtM
• .Gatpya
• .GbaI
• .GCNcYE
• .GGFtMd
• .gHefG
• .GhXRL
• .GVcIyr
• .gxEuSv
• .HGjAB
• .HgsVQnUC
• .HhWtbN
• .HKTyQ
• .hlp
• .hta
• .huABnaK
• .ibsewNOI
• .icl
• .icns
• .ico
• .ics
• .iCSkVcP
• .idx
• .ipST
• .ISkoqBz
• .iykIj
• .izfvNIo
• .JaImV
• .JhrCrk
• .jjcXWfnl
• .key
• .KIXsYv
• .kRDsqM
• .kRsYZJyQ
• .LENNw
• .liNjEEj
• .lnk
• .lock
• .LZJK
• .LzwE
• .MBhSH
• .mDGs
• .MjVAzUB
• .mod
• .MooOzu
• .mpa
• .mRTanA
• .MRVpcx
• .msc
• .msi
• .msp
• .msstyles
• .msu
• .nbhtRyt
• .NbKCPV
• .niSsKNWX
• .nls
• .NlSdI
• .nomedia
• .NScx
• .NWvlhq
• .nWzO
• .OBEEmY
• .ocx
• .Oyfx
• .pdb
• .POrcRK
• .prf
• .ps1
• .Puolu
• .pxtrbnaJ
• .QHMSXf
• .qmoTzFmD
• .QScYYgTO
• .QtJeWT
• .QTTiDhUZ
• .QypnyNT
• .RHlRYeu
• .RlaXjvjK
• .RLpYbR
• .RMkWTRw
• .Rnif
• .rom
• .RQJGa
• .rtp
• .ruIskqo
• .RvXHag
• .sAsVu
• .scpOg
• .scr
• .search-ms
• .shs
• .SKAw
• .spl
• .srem
• .sthOKQU
• .SUaLl
• .sys
• .tblnocn
• .theme
• .themepack
• .tnrKjo
• .TwqMEzmf
• .UNEzGdSD
• .UpPLjwr
• .uQlf
• .uvbg
• .uZjKDqR
• .VbgQJ
• .vKRa
• .vLFew
• .vLuwMjt
• .VQEW
• .vVtHs
• .wBgPqL
• .WChzQ
• .wHOXfI
• .wpx
• .XONIz
• .XuFxtemZ
• .xuiKKV
• .YAKxvkvX
• .YfZxME
• .YgAlwFK
• .YGFhwuZj
• .yLnd
• .yQBFV
• .YSmQZYGF
• .Zbnm
• .zdBLY
• .ZLom
• .ZRDlH
• .zUnjegnM
• .zyucABE