Ransom.Win32.LOCKBIT.ENU

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %System%\{random}.ico → icon for encrypted files
• {Drive}\{random}.lock → deleted afterwards

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、以下のプロセスを追加します。

• "%System%\cmd.exe" /c vssadmin delete shadows /all /quiet & wmic shadowcopy delete & bcdedit /set {default} bootstatuspolicy ignoreallfailures & bcdedit /set {default} recoveryenabled no

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• {095650E2-0956-73FC-75BA-CE6A6A58CEB8}

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{030CECE2-5656-7371-75BA-756A705801B8} = {Malware Path and Name}.exe

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
.lockbit\DefaultIcon
{Default} = %System%\{random}.ico

HKEY_CURRENT_USER\Software\FA0C50E256FCBA
Private = {Generated Session Key}

HKEY_CURRENT_USER\Software\FA0C50E256FCBA
Public = {Generated Session Key}

プロセスの終了

マルウェアは、感染コンピュータ上で確認した以下のサービスを終了します。

• AcronisAgent
• AcrSch2Svc
• ARSM
• backup
• BackupExecAgentAccelerator
• BackupExecAgentBrowser
• BackupExecDiveciMediaService
• BackupExecJobEngine
• BackupExecManagementService
• BackupExecRPCService
• BackupExecVSSProvider
• bedbg
• CAARCUpdateSvc
• CASAD2DWebSvc
• ccEvtMgr
• ccSetMgr
• Culserver
• dbeng8
• dbsrv12
• DefWatch
• FCS
• FishbowlMySQL
• Intuit
• memtas
• mepocs
• MSExchange
• MSExchange$
• msftesql-Exchange
• msmdsrv
• MSSQL
• MSSQL$
• MSSQL$KAV_CS_ADMIN_KIT
• MSSQL$MICROSOFT##SSEE
• MSSQL$MICROSOFT##WID
• MSSQL$SBSMONITORING
• MSSQL$SHAREPOINT
• MSSQL$VEEAMSQL2012
• MSSQLFDLauncher$SBSMONITORING
• MSSQLFDLauncher$SHAREPOINT
• MSSQLServerADHelper100
• MVArmor
• MVarmor64
• MySQL57
• PDVFSService
• QBCFMonitorService
• QBFCService
• QBIDPService
• QBVSS
• QuickBooks
• RTVscan
• SavRoam
• sophos
• sql
• sqladhlp
• SQLADHLP
• sqlagent
• SQLAgent$KAV_CS_ADMIN_KIT
• SQLAgent$SBSMONITORING
• SQLAgent$SHAREPOINT
• SQLAgent$VEEAMSQL2012
• sqlbrowser
• SQLBrowser
• Sqlservr
• SQLWriter
• stc_raw_agent
• svc$
• tomcat6
• veeam
• VeeamDeploymentService
• VeeamNFSSvc
• VeeamTransportSvc
• vmware-converter
• vmware-usbarbitator64
• VSNAPVSS
• vss
• wrapper
• WSBExchange
• YooBackup
• YooIT
• zhudongfangyu

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• 360doctor
• 360se
• acwebbrowser
• ADExplorer
• ADExplorer64
• ADExplorer64a
• Adobe CEF
• Adobe Desktop Service
• AdobeCollabSync
• AdobeIPCBroker
• agntsvc
• AutodeskDesktopApp
• Autoruns
• Autoruns64
• Autoruns64a
• Autorunsc
• Autorunsc64
• Autorunsc64a
• avz
• axlbridge
• bedbh
• benetns
• bengien
• beserver
• BrCcUxSys
• BrCtrlCntr
• CagService
• CoreSync
• Creative Cloud
• Culture
• dbeng50
• dbsnmp
• Defwatch
• DellSystemDetect
• dumpcap
• encsvc
• EnterpriseClient
• excel
• fbguard
• fbserver
• fdhost
• fdlauncher
• GDscan
• GlassWire
• GWCtlSrv
• Helper
• httpd
• infopath
• InputPersonalization
• isqlplussvc
• j0gnjko1
• java
• koaly-exp-engine-service
• msaccess
• MsDtSrvr
• mspub
• mydesktopqos
• mydesktopservice
• mysqld
• node
• notepad
• notepad++
• ocautoupds
• ocomm
• ocssd
• onenote
• ONENOTEM
• oracle
• outlook
• powerpnt
• ProcessHacker
• Procexp
• Procexp64
• procexp64a
• procmon
• procmon64
• procmon64a
• pvlsvr
• QBDBMgr
• QBDBMgrN
• QBIDPService
• qbupdate
• QBW32
• Raccine
• Raccine_x86
• RaccineElevatedCfg
• RaccineSettings
• RAgui
• raw_agent_svc
• RdrCEF
• RTVscan
• sam
• Simply
• SimplyConnectionManager
• sqbcoreservice
• sqlbrowser
• sqlmangr
• Sqlservr
• Ssms
• steam
• supervise
• sync-taskbar
• synctime
• sync-worker
• Sysmon
• Sysmon64
• SystemExplorer
• SystemExplorerService
• SystemExplorerService64
• SystemTrayIcon
• tbirdconfig
• tcpview
• tcpview64
• tcpview64a
• tdsskiller
• TeamViewer
• TeamViewer_Service
• thebat
• thunderbird
• TitanV
• tomcat6
• Totalcmd
• Totalcmd64
• tv_w32
• tv_x64
• VeeamDeploymentSvc
• visio
• vsnapvss
• vxmon
• wdswfsafe
• winword
• WireShark
• wordpad
• wsa_service
• wxServer
• wxServerView
• xfssvccon
• ZhuDongFangYu

その他

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
.lockbit

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
.lockbit\DefaultIcon

HKEY_CURRENT_USER\Software\FA0C50E256FCBA

マルウェアは、以下を実行します。

• It has the capability to print the ransom note in infected machines.
• It encrypts files found in the following drive types:
  • Fixed drive
  • Removable drive
  • Network drive
  • RAM Disks

マルウェアは、以下のパラメータを受け取ります。

• {File Name or File Path to Encrypt} → if unspecified, the malware will infect all files except for the avoided ones.

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• autorun.inf
• bootsect.bak
• iconcache.db
• ntldr
• ntuser.dat.log
• restore-my-files.txt
• thumbs.db

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• $recycle.bin
• $windows.~bt
• $windows.~ws
• all users
• appdata
• application data
• boot
• common files
• google
• intel
• internet explorer
• microsoft
• microsoft shared
• microsoft.net
• mozilla
• msbuild
• msocache
• opera
• perflog
• system volume information
• tor browser
• windows
• windows defender
• windows journal
• windows media player
• windows nt
• windows photo viewer
• windows security
• windows.old
• windowsapps
• windows powershell

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .lockbit

マルウェアは、以下の内容を含む脅迫状のテキストファイルを残します。

• {Encrypted Directory}\Restore-My-Files.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .386
• .adv
• .ani
• .apk
• .app
• .bat
• .bin
• .cmd
• .com
• .cpl
• .cur
• .dacpac
• .db-shm
• .diagcab
• .diagcfg
• .diagpkg
• .dll
• .dmg
• .dmp
• .drv
• .exe
• .fnt
• .fon
• .gadget
• .hlp
• .hta
• .icns
• .ico
• .ics
• .idx
• .ini
• .ipa
• .iso
• .key
• .lnk
• .lock
• .lockbit
• .mod
• .mp3
• .mp4
• .mpa
• .mrg
• .msc
• .msi
• .msp
• .msstyles
• .msu
• .nls
• .ocx
• .otf
• .part
• .pif
• .prf
• .rdp
• .reg
• .rom
• .rtp
• .sfcache
• .shs
• .spl
• .sys
• .theme
• .tmp
• .ttf
• .wad
• .wav
• .wma
• .woff
• .wpx
• .xex

<補足>
インストール

マルウェアは、以下のファイルを作成します。

• %System%\{ランダム}.ico → 暗号化されたファイル用のアイコン
• {ドライブ}\{ランダム}.lock → 後に削除される

マルウェアは、以下のプロセスを追加します。

• "%System%\cmd.exe" /c vssadmin delete shadows /all /quiet & wmic shadowcopy delete & bcdedit /set {デフォルト} bootstatuspolicy ignoreallfailures & bcdedit /set {デフォルト} recoveryenabled no

その他

マルウェアは、以下を実行します。

• マルウェアは、感染したコンピュータ内で身代金要求文書（脅迫状）を表示する機能を備えています。
• マルウェアは、以下のドライブ内で見つかったファイルを暗号化します。
  • 固定ドライブ
  • リムーバブルドライブ
  • ネットワークドライブ
  • RAMディスク

マルウェアは、以下のパラメータを受け取ります。

• {暗号化するファイル名またはファイルパス} → 指定がない場合、マルウェアは回避対象ファイルを除くすべてのファイルに感染します。

マルウェアは、以下の内容を含む脅迫状のテキストファイルを残します。

• {暗号化されたディレクトリ}\Restore-My-Files.txt