Ransom.Win32.LYNXRANSOM.THGBIBD

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\background-image.jpg
• %System%\spool\PRINTERS\00002.SPL
• %System%\spool\PRINTERS\00002.SHD

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

他のシステム変更

マルウェアは、以下のレジストリ値を変更し、デスクトップの壁紙を変更します。

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %User Temp%\background-image.jpg

マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。

• %User Temp%\background-image.jpg
  

プロセスの終了

マルウェアは、感染コンピュータ上で確認した以下のサービスを終了します。

• backup
• exchange
• sql
• veeam

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• backup
• exchange
• java
• notepad
• sql
• veeam

情報漏えい

マルウェアは、以下のパラメータを受け取ります。

• --file → Encrypt only specified file
• --dir → Encrypt only specified directory
• --help → Print the help message
• --verbose → Display logs in the console
• --stop-processes → Uses Windows Restart Manager APIs to close processes or shut down Windows services that may be keeping a file open and preventing encryption.
• --encrypt-network → Encrypt network shares
• --load-drives → Load hidden drives
• --hide-cmd → No function as of this writing
• --no-background → Disable changing background image
• --no-print → Disable printing ransom note on printers
• --kill → Kill processes/services
• --safe-mode → No function as of this writing
• --mode → No function as of this writing

その他

マルウェアは、以下を実行します。

• It terminates all dependent services to the following services:
  • backup
  • exchange
  • sql
  • veeam
• It encrypts removable, fixed, remote drives.
• It empties the Recycle Bin
• It enumerates printers in the network to print the ransom note.
• It deletes volume shadow copies using the DeviceIoControl API.
• It displays its logs on a console when the parameter --verbose is used:
  

ランサムウェアの不正活動

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• $RECYCLE.BIN
• appdata
• program files
• program files (x86)

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .LYNX

マルウェアが作成する以下のファイルは、脅迫状です。

• {Malware Traversed Path}\README.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .dll
• .exe
• .lynx
• .msi

<補足>
情報漏えい