Ransom.Win32.MAKOP.SM

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ユーザインターフェイス（UI）を使用します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを追加します。

• {Drive Letter}\YOUR_FILES_ARE_ENCRYPTED → if the selected folder to be encrypted is a drive

マルウェアは、以下のプロセスを追加します。

• %System%\cmd.exe
• vssadmin delete shadows /all /quiet
• wbadmin delete catalog – quiet
• wmic shadowcopy delete
• {Malware File Path}\{Malware File Name} → if executed with administrator privileges.

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Local\ZonesLockedCacheCounterMutex

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• msftesql.exe
• sqlagent.exe
• sqlbrowser.exe
• sqlservr.exe
• sqlwriter.exe
• oracle.exe
• ocssd.exe
• dbsnmp.exe
• synctime.exe
• agntsrvc.exe
• mydesktopqos.exe
• isqlplussvc.exe
• xfssvccon.exe
• mydesktopservice.exe
• ocautoupds.exe
• encsvc.exe
• firefoxconfig.exe
• tbirdconfig.exe
• ocomm.exe
• mysqld.exe
• mysqld-nt.exe
• mysqld-opt.exe
• dbeng50.exe
• sqbcoreservice.exe
• excel.exe
• infopath.exe
• msaccess.exe
• mspub.exe
• onenote.exe
• outlook.exe
• powerpnt.exe
• steam.exe
• thebat.exe
• thebat64.exe
• thunderbird.exe
• visio.exe
• winword.exe
• wordpad.exe

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、ファイルをダウンロードします。

• {BLOCKED}ndowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?2bf7d05eae99c881

その他

マルウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• {BLOCKED}er.org/1xdAe7

マルウェアは、以下のUIを使用します。

マルウェアは、以下を実行します。

• It scans specific database-related file extensions:
  • 4dd
  • 4dl
  • abs
  • abx
  • accdb
  • accdc
  • accde
  • adb
  • adf
  • ckp
  • db
  • db-journal
  • db-shm
  • db-wal
  • db2
  • db3
  • dbc
  • dbf
  • dbs
  • dbt
  • dbv
  • dcb
  • doc
  • docx
  • dp1
  • eco
  • edb
  • epim
  • fcd
  • gdb
  • mdb
  • mdf
  • ldf
  • myd
  • ndf
  • nwdb
  • nyf
  • sqlitedb
  • sqlite3
  • sqlite
  • xls
  • xlsx
  • xlsm

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• boot.ini
• bootfont.bin
• ntldr
• ntdetect.com
• io.sys
• readme-warning.txt
• desktop.ini

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• google
• Users\Public
• %ProgramData%\microsoft\windows\caches
• %System Root%\Users\All Users\Microsoft\Windows\Caches

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 . %System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• {Original File Name}.{Original File Extension}.[{Victim ID}].[{BLOCKED}pher@cock.li ].makop

マルウェアが作成する以下のファイルは、脅迫状です。

• {Drive Letter}\YOUR_FILES_ARE_ENCRYPTED\readme-warning.txt → if the selected folder is a drive
• {Encrypted Directory}\readme-warning.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .makop
• .CARLOS
• .Shootlock
• .Shootlock2
• .1recoesufV8Sv6g
• .1recocr8M4YJskJ7
• .btc
• .KJHslgjkjdfg
• .exe
• .dll