Ransom.Win32.LIVEDE.THLBHBC

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• {malware directory}\libgobject-2.0-0.dll
• {malware directory}\libiconv-2.dll
• {malware directory}\libintl-8.dll
• {malware directory}\libpcre2-8-0.dll
• {malware directory}\livelocked.exe
• {malware directory}\windows_encryptor_180870197840.exe
• {malware directory}\libffi-8.dll
• {malware directory}\libglib-2.0-0.dll

マルウェアは、以下のプロセスを追加します。

• bcdedit /set {current} recoveryenabled no
• bcdedit /set {default} recoveryenabled no
• bcdedit /set {current} bootstatuspolicy ignoreallfailures
• bcdedit /set {default} bootstatuspolicy ignoreallfailures
• vssadmin Delete Shadows /All /Quiet
• wbadmin DELETE BACKUP -keepVersions:0 -quiet
• taskkill /F /IM {process name}
• net stop {service name} /y
• wevtutil cl application
• wevtutil cl security
• wevtutil cl system

他のシステム変更

マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。

その他

マルウェアは、以下を実行します。

• The file is a self-extracting archive.
• Clears event logs to hide its malicious behaviors.
• It encrypts drives from A:\ to Z:\

マルウェアは、以下のパラメータを受け取ります。

• -s, --self
• -h, --help, -help, /?
• -d, --directory
• -dr, --deleteRestorePoints {true, false}
• -ss, --stopServices {true, false}
• -sp, --stopProcesses {true, false}
• -dn, --dropNote {true, false}
• -cw, --changeWallpaper {false}

ランサムウェアの不正活動

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• C:\Program Files
• C:\Program Files(x86)
• C:\ProgramData
• C:\Windows
• C:\msys64
• C:\Users\All Users

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• {original filename}.{original extension}.live

マルウェアが作成する以下のファイルは、脅迫状です。

• {encrypted directory}\FILE RECOVERY_ID_393FB90.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• exe
• dll
• ini
• tmp
• url
• lnk
• ps1
• nls
• shs
• themepack
• bin
• msp
• wpx
• bat
• sys
• spl
• scr
• icl
• rom
• msc
• ico
• LIVE