Ransom.Win32.MAKOP.GAJD

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• {Malware Path}\{Malware Filename}.exe
• vssadmin delete shadows /all /quiet → deletes shadow copies
• wbadmin delete catalog -quiet → deletes backup catalog
• wmic shadowcopy delete → deletes shadow copies
• %System%\cmd.exe

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• m23071644

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• AcroRd32.exe
• AdobeARM.exe
• Agent.exe
• agntsrvc.exe
• ApplicationFrameHost.exe
• armsvc.exe
• AuthManSvr.exe
• avp.exe
• avpsus.exe
• BrccMCtl.exe
• BrCcUxSys.exe
• BrCtrlCntr.exe
• browser_broker.exe
• BrStMonW.exe
• BrYNSvc.exe
• chrome.exe
• concentr.exe
• dasHost.exe
• dbeng50.exe
• dbsnmp.exe
• DDVCollectorSvcApi.exe
• DDVDataCollector.exe
• DellOSDService.exe
• dwm.exe
• DYMO.DLS.Printing.Host.exe
• DymoPnpService.exe
• encsvc.exe
• excel.exe
• FBService.exe
• fdhost.exe
• fdlauncher.exe
• firefoxconfig.exe
• FJTWMKSV.exe
• FjtwMkup.exe
• FTErGuid.exe
• FtLnSOP.exe
• FTPWREVT.exe
• GoogleCrashHandler.exe
• GoogleCrashHandler64.exe
• HeciServer.exe
• hkcmd.exe
• HPNETW~1.EXE
• HPScan.exe
• IAStorDataMgrSvc.exe
• IAStorIcon.exe
• igfxpers.exe
• igfxtray.exe
• infopath.exe
• IntelCpHDCPSvc.exe
• IntelCpHeciSvc.exe
• IPROSetMonitor.exe
• IRMTService.exe
• isqlplussvc.exe
• jhi_service.exe
• klnagent.exe
• ktfwswe.exe
• LBAEvent.exe
• LenovoReg.exe
• LMS.exe
• LSCNotify.exe
• MBCloudEA.exe
• mdm.exe
• MediaButtons.exe
• MicroosftEgdeCP.exe
• Microsoft.Photos.exe.
• MicrosoftEdge.exe
• MicrosoftEdgeSH.exe
• msaccess.exe
• MsDtsSrvr.exe
• msftesql.exe
• msmdsrv.exe
• mspub.exe
• mydesktopqos.exe
• mydesktopservice.exe
• mysqld.exe
• mysqld-nt.exe
• mysqld-opt.exe
• ocautoupds.exe
• ocomm.exe
• ocssd.exe
• OfficeClickToRun.exe
• OneDrive.exe
• onenote.exe
• oracle.exe
• outlook.exe
• PDFProFiltSrvPP.exe
• pg_ctl.exe
• postgres.exe
• powerpnt.exe
• prevhost.exe
• PrivacyIconClient.exe
• PsiService_2.exe
• QBCFMonitorService.exe
• QBIDPService.exe
• qbupdate.exe
• QBWebConnector.exe
• RAVBg64.exe
• RAVCpl64.exe
• RdrCEF.exe
• Reciever.exe
• redirector.exe
• ReportingServicesService.exe
• RstMwService.exe
• RtkNGUI64.exe
• RuntimeBroker.exe
• ScanToPCActivatationApp.exe
• SecurityHealthService.exe
• SelfServicePlugin.exe
• ShellExperienceHost.exe
• sqbcoreservice.exe
• sqlagent.exe
• sqlbrowser.exe
• sqlceip.exe
• sqlservr.exe
• sqlwriter.exe
• Ssms.exe
• steam.exe
• SupportAssistAgent.exe
• synctime.exe
• taskeng.exe
• taskhost.exe
• taskhosta.exe
• taskhostw.exe
• tbirdconfig.exe
• Teams.exe
• TeamViewer.exe
• TeamViewer_Service.exe
• thebat.exe
• thebat64.exe
• thunderbird.exe
• TodoBackupService.exe
• tv_w32.exe
• tv_x64.exe
• ULCDRSvr.exe
• UniFi.exe
• UNS.exe
• unsecapp.exe
• vapm.exe
• vds.exe
• visio.exe
• vssadmin.exe
• WavesSvc64.exe
• wfcrun32.exe
• wijca.exe
• winword.exe
• WLIDSVC.EXE
• WLIDSVCM.EXE
• WLXPhotoGallery.exe
• WmiPrvSE.exe
• wordpad.exe
• wuauclt.exe
• xfssvccon.exe

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• boot.ini
• bootfont.bin
• ntldr
• ntdetect.com
• io.sys
• +README-WARNING+.txt
• desktop.ini

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• windows
• winnt

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• C:\Windows
• C: \ProgramData\microsoft\windows\caches
• C:\Users\All Users\Microsoft\Windows\Caches
• C: \Users\Public

マルウェアは、以下の名称を利用して暗号化されたファイルのファイル名を改称します。

• [8 Random Characters].[{BLOCKED}chadwick275@{BLOCKED}e.io].mkp

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Directory}\+README-WARNING+.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• exe
• dll
• mkp