Ransom.Win32.OOGLEGO.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを追加します。

• {Encrypted Drive Letter}:\temp

マルウェアは、以下のファイルを作成します。

• {Encrypted Drive Letter}:\temp\{Random Numbers}.xyzx

マルウェアは、以下のプロセスを追加します。

• powershell.exe -NoExit -Command -
• "%Windows%\system32\net.exe" view
• "%Windows%\system32\net.exe" view {Computer Name}
• "%System%\Wbem\WMIC.exe" SHADOWCOPY DELETE
• "%Windows%\system32\vssadmin.exe" Delete Shadows /All /Quiet
• "%Windows%\system32\reg.exe" ADD "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\utilman.exe" /f /v Debugger /t REG_SZ /d %windir%\system32\cmd.exe
• "%Windows%\system32\reg.exe" ADD "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\taskmgr.exe" /f /v Debugger /t REG_SZ /d "Hotkey Disabled"
• "%Windows%\system32\bcdedit.exe" /set -encodedCommand ZABlAGYAYQB1AGwAdAA= recoveryenabled No -inputFormat xml -outputFormat text
• "%Windows%\system32\bcdedit.exe" /set -encodedCommand ZABlAGYAYQB1AGwAdAA= bootstatuspolicy ignoreallfailures -inputFormat xml -outputFormat text
• Clear-RecycleBin -force -ErrorAction:Ignore

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKLM\SOFTWARE\Micorosoft\
Windows NT\CurrentVersion\Image File Execution Options\
utilman.exe
Debugger = %System%\cmd.exe

HKLM\SOFTWARE\Micorosoft\
Windows NT\CurrentVersion\Image File Execution Options\
taskmgr.exe
Debugger = Hotkey Disabled

その他

マルウェアは、以下を実行します。

• It Stop Services with the following strings in its name using the command: "%System%\Wbem\WMIC.exe" path Win32_Service where "name like '%%{String_svc}%%'" call stopservice - where String_svc are the following:
  • MSSQL
  • SQLAgent
  • SQLBrowser
  • ReportServer
  • SQLWriter
  • SQL
  • MySQL
  • firebird
  • WinDefend
  • mr2kserv
  • IISADMIN
  • Database
  • QuickBooksDB
  • MongoDB
  • MBAMService
  • Exchange
  • wsbexchange
  • QB
  • Quick
• It terminates processes with the following strings in its name using the command: "%System%\Wbem\WMIC.exe" path Win32_Process where "name like '%%String%%'" call terminate - where String are the following:
  • QB
  • msftefd
  • msftesql
  • mysql
  • node
  • noderunner
  • omtsreco
  • oracle
  • sql
  • store
  • acess
  • acrord
  • code
  • devenv
  • avp
  • swprv
  • VSSVC
  • sqlsrvr
• It encrypts files found in Shared Resources

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• dropbox.exe
• megasync.exe
• onedrive.exe
• googledrivesync.exe
• {Malware Filename}
• FileRecovery.txt
• err.log
• debug.log

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• {Drive}:\Windows\

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• _ID_{HDDVolumeID}_H_{BLOCKED}ta.company@{BLOCKED}.google

マルウェアは、以下の内容を含む脅迫状のテキストファイルを残します。

• {Encrypted Directory}\FileRecovery.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .sys
• .tmp