Ransom.Win32.KUIPER.THAAHBC

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• cmd.exe /c "vssadmin resize shadowstorage /for={Drives A-Z}: /on=C: /maxsize=401MB"
• cmd.exe /c "wevtutil cl application"
• cmd.exe /c "wbadmin delete catalog -quiet"
• cmd.exe /c "bcdedit /set {default} recoveryenabled No"
• cmd.exe /c "wbadmin DELETE SYSTEMSTATEBACKUP -deleteOldest"
• cmd.exe /c "wevtutil cl securit"
• cmd.exe /c "bcdedit /set {default} bootstatuspolicy ignoreallfailures"
• cmd.exe /c "wbadmin DELETE SYSTEMSTATEBACKUP"
• cmd.exe /c "wevtutil cl system"
• cmd.exe /c "powershell.exe -ep bypass -ec {Base64-encoded powershell script}"
  The following processes will spawned as a result of this command:
  • powershell.exe -ep bypass -w hidden -c "while($true){ taskkill /f /im taskkill.exe}"
  • powershell.exe -ep bypass -w hidden -c "while($true){ taskkill /f /im tasklist.exe}"
  • powershell.exe -ep bypass -w hidden -c "while($true){ taskkill /f /im taskmgr.exe}"
  • powershell.exe -ep bypass -w hidden -c "while($true){ taskkill /f /im cmd.exe}"
  • powershell.exe -ep bypass -w hidden -c "while($true){ taskkill /f /im ps.exe}"
• cmd.exe /c taskkill /f /im {Process name from Termination list}
• cmd.exe /c net stop {Service name from Termination list} /y
• cmd.exe /c "shutdown /r /t 8"
• cmd.exe /c "reboot"

プロセスの終了

マルウェアは、感染コンピュータ上で確認した以下のサービスを終了します。

• via net stop:
  • Avast Antivirus!
  • TMResponse
  • BackupExecAgentBrowser
  • AOTAgentSvc
  • TMBMServer
  • iVPAgent
  • Trend Micro
  • Web Service Communicator
  • Tmccst
  • Tmlisten
  • Ntrtscan
  • TmWSCSvc

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• via taskkill /f /im:
  • AOTAgent.exe
  • CETASvc.exe
  • powerpnt.exe
  • iVPAgent.exe
  • tmwscsvc.exe
  • ResponseService.exe
  • PccNTMon.exe
  • SupportConnector.exe
  • vastsvc.exe
  • avgsvc.exe
  • NortonSecurity.exe
  • McAfeeFramework.exe
  • KasperskyService.exe
  • SophosSAU.exe

その他

マルウェアは、以下を実行します。

• It prints the number of processors and execution logs to the console.
  
• It checks if the file size is greater than 198, 180, 854 bytes. These files will be partially encrypted for faster encryption.
• It checks if the file extension is any of the following. These files will be encrypted in its entirety regardless of the file size.
  • .sql
  • .txt
  • .db
  • .json

マルウェアは、以下のパラメータを受け取ります。

• --help → Displays the help menu.
• -bm {yes|no} → Big mode ensures that large files encrypted first. (Default value: yes)
• -kill {yes|no} → Enables/disables the kill loop for the following applications: taskmgr, cmd, regedit, powershell. (Default value: no)
• -note {yes|no} → Defines whether the ransom note is dropped during the encryption process, or only once the encryption is finished. (Default value: yes)
• -p {path} → Specifies the targeted folder to encrypt files
• -reboot {yes|no} → Defines whether machine is rebooted after encryption. (Default value: yes)
• -rename {yes|no}→ Specifies if the ransom extension is appended to encrypted files. (Default value: yes)

ランサムウェアの不正活動

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• README_TO_DECRYPT.txt
• Program Files (x86)
• Windows
• Temp
• System32
• AppData
• SysWOW64
• BOOTNXT
• DumpStack.log.tmp
• pagefile.sys
• swapfile.sys
• desktop.ini
• ntuser.dat
• thumbs
• System Volume Information
• $Recycle.Bin
• perflogs
• App Data
• appdata
• ProgramData
• Recovery

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .kuiper

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Drive}\README_TO_DECRYPT.txt
• {Encrypted Directory}\README_TO_DECRYPT.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .DAT
• .TMP
• .bak
• .bat
• .bin
• .blf
• .cfg
• .cmd
• .com
• .dat
• .dll
• .elf
• .exe
• .ini
• .lnk
• .msi
• .rtf
• .sys
• .tmp
• .desktop
• .Desktop
• .so
• .go
• .html
• .crlk
• .kuiper