Ransom.Win32.PAYMEN.THA

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• vssadmin delete shadows /all /quiet -> deletes shadow copies
• %System%\cmd.exe /c timeout 1 && del {Malware path}\{Filename}.exe >> NUL -> deletes the malware itself after execution

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

プロセスの終了

マルウェアは、感染コンピュータ上で確認した以下のサービスを終了します。

• ADHelper100
• AVP18.0.0
• DDVCollectorSvcApi
• DDVDataCollector
• DellOSDService
• DymoPnpServiceAgent
• FDLauncher
• FJTWMKSV
• IAStorDataMgrSvc
• IPROSetMonitor
• IRMTService
• IntelCpHDCPSvc
• IntelCpHeciSvc
• KLIF
• KSD.E1.0.0
• LMS
• MBCloudEA
• MSSQL
• MSSQLSERVER
• MSSQLServer
• MSSQLServerOLAPService
• MediaButtons
• Microsoft.Photos
• MsDtsServer100
• MsDtsServer130
• OfficeClickToRun
• QBCFMonitorService
• QBIDPService
• RAVBg64
• ReportServer
• RstMwService
• SQLAgent
• SQLBrowser
• SQLSERVERAGENT
• SQLTELEMETRY
• SQLWriter
• SSISTELEMETRY130
• TMBMServer
• TMLWCSService
• TMSmartRelayService.
• TMiCRCScanService
• TeamViewer
• TeamViewer_Service
• TmCCSF
• TmFilter
• TmPreFilter
• TmProxy
• TodoBackupService
• UniFi
• VSApiNt
• WRSVC
• ackupdisk
• armsvc
• dasHost
• ekrn
• jhi_service
• klb
• klbackupflt
• klflt
• klhk
• klim6
• klkbdflt
• klmouflt
• klpd
• kltap
• ntrtscan
• ofcservice
• postgresql-x64-9.4
• storflt
• tmlisten
• tmusa
• tv_w32
• tv_x64
• unsecapp
• vds
• vmicguestinterface
• vmickvpexchange
• vmicrdv
• vmicshutdownvmicheartbeat
• vmictimesync
• vmicvss

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• Agent.exe
• DellOSDService.exe
• DymoPnpService.exe
• FJTWMKSV.exe
• IPROSetMonitor.exe
• IRMTService.exe
• IntelCpHDCPSvc.exe
• MBCloudEA.exe
• MsDtsSrvr.exe
• OfficeClickToRun.exe
• QBCFMonitorService.exe
• QBIDPService.exe
• ReportingServicesService.exe
• RstMwService.exe
• SQLAGENT.EXE
• Ssms.exe
• TeamViewer_Service.exe
• UniFi.exe
• armsvc.exe
• dasHost
• fdhost.exe
• fdlauncher.exe
• msftesql.exe
• msmdsrv.exe
• pg_ctl.exe
• postgres.exe
• sqlbrowser.exe
• sqlceip.exe
• sqlservr.exe
• sqlwriter.exe

ランサムウェアの不正活動

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• AppData
• Windows
• System Volume Information
• readme.txt
• {Malware Filename}.exe

マルウェアは、以下の名称を利用して暗号化されたファイルのファイル名を改称します。

• {Original Filename}.{Original File Extension}.g8R4rqWp9

マルウェアは、以下の内容を含む脅迫状のテキストファイルを残します。

• {Encrypted Drive}:\readme.txt
• {Encrypted directory}\readme.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .scr
• .cmd
• .dll
• .bat
• .cpl
• .sys
• .msc
• .com
• .lnk
• .msp
• .pif
• .g8R4rqWp9