Ransom.Win32.MCRYPT.THABAOAH

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• "cmd.exe" /C ping 127.0.0.1 -n 5& Del → executes this command if "%System%\drivers\dcrypt.sys" is not found in the system
• "%Public%\dcinst.exe" -install → will not execute properly since it is not a parameter by nature of the file
• "%Public%\dcinst.exe" -setup → installs "dcrypt.sys" as a service into the system
• "%Public%\dccon.exe" -install → will not execute properly since it is not a parameter by nature of the file
• "shutdown.exe" /r /f /t 03 → shuts down the system after attempting to install the driver, dcrypt.sys into the system
• "%Public%\dccon.exe" -enum → enumerates the following information from the system.
  
  • Drive Letter
  • Drive Name
  • Size
  • Bootable (Y/N)
  • Bootloader

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %Public%フォルダは、すべてのユーザ共通のファイルまたはフォルダのリポジトリとして機能するフォルダです。Windows Vista、7、8の場合、通常 "C:\Users\Public" です。)

自動実行方法

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\dcrypt\Instances\
dcrypt
Altitude = 87150

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\dcrypt\Instances\
dcrypt
Flags = 0

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\dcrypt\Instances
DefaultInstance = "dcrypt"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\dcrypt\config
Flags = "1408"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\dcrypt\config
Hotkeys = "\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\dcrypt\config
sysBuild = "846"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\myCryptoraphyService
DisplayName = "myCryptoraphyService"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\myCryptoraphyService
ImagePath = "{malware path and file name}.exe"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\myCryptoraphyService
Start = "SERVICE_AUTO_START"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\dcrypt
DisplayName = "DiskCryptor driver"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\dcrypt
ImagePath = "%System%\drivers\dcrypt.sys"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\dcrypt
Start = "SERVICE_BOOT_START"

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\dcrypt\Instances\
dcrypt
Altitude = "87150"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\dcrypt\Instances\
dcrypt
Flags = "0"

作成活動

マルウェアは、以下のファイルを作成します。

• %Public%\myLog.txt → contains the log of the malware process upon execution. A sample log is seen from the image:
  
• %Public%\dccon.exe → used to check information and perform other functions in a system's volume information
• %Public%\dcinst.exe → Contains the configuration and setup of the malware
• %Public%\dcrypt.sys
• %Public%\myConf.txt → contains the input argument/parameter that was set by the victim
• %System%\drivers\dcrypt.sys
• %Public%\dcapi.dll → contains all the calling functions that dcinst.exe and dccon.exe uses