Ransom.Win32.RAGNAR.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• wmic.exe shadowcopy delete → deletes shadow copies
• vssadmin delete shadows /all /quiet → deletes shadow copies

プロセスの終了

マルウェアは、感染コンピュータ上でプロセスが常駐されていることを確認した場合、以下のいずれかの文字列を含むプロセスまたはサービスを終了します。

• backup
• connectwise
• Dfs
• logme
• logmein
• memtas
• mepocs
• mysql
• pulseway
• sophos
• splashtop
• sql
• veeam
• vmcompute
• vmms
• vss
• agntsvc
• benetns
• bengine
• beremote
• beserver
• dbeng50
• dbsnmp
• dfsrs.exe
• dfssvc.exe
• EduLink2SIMS
• encsvc
• excel
• fdhost
• firefox
• infopath
• isqlplussvc
• msaccess
• mspub
• mydesktopqos
• mydesktopservice
• ocautoupds
• ocomm
• ocssd
• onenote
• oracle
• outlook
• OWSTIMER
• postgres
• powerpnt
• pvlsvr
• SAVAdminService
• SavService.exe
• sqbcoreservice
• steam
• swc_service.exe
• synctime
• tbirdconfig
• thebat
• thunderbird
• visio
• VxLockdownServer
• winword
• wordpad
• WSSADMIN
• wsstracing
• xfssvccon

その他

マルウェアは、以下を実行します。

• It checks for the computer's language and terminates itself if any the following language is detected:
  
  • Armenian
  • Azerbaijani
  • Belorussian
  • Georgian
  • Kazakh
  • Kyrgyz
  • Moldavian
  • Russian
  • Tajik
  • Turkmen
  • Ukrainian
  • Uzbek

マルウェアは、以下のパラメータを受け取ります。

• -backup
  
  • deletes shadow copies only
• -list {Text File}
  
  • deletes shadow copies and encrypts only the directories indicated on the text file
• -force {Path}
  
  • deletes shadow copies and encrypts only the path provided
• -vm
  
  • deletes shadow copies and encrypts the whole machine avoiding files,folders and file extensions stated below.

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• RGNR_{8 Characters based on Computer Name}.txt
• autorun.inf
• boot.ini
• bootfont.bin
• bootsect.bak
• bootmgr
• bootmgr.efi
• bootmgfw.efi
• desktop.ini
• iconcache.db
• ntldr
• ntuser.dat
• ntuser.dat.log
• ntuser.ini
• thumbs.db

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• Windows
• Windows.old
• Tor browser
• Internet Explorer
• Google
• Opera
• Opera Software
• Mozilla
• Mozilla Firefox
• $Recycle.Bin
• ProgramData
• All Users

マルウェアは、以下の名称を利用して暗号化されたファイルのファイル名を改称します。

• {Original Filename}.{Original File Extension}.ragnar_{8 Characters based on Computer Name}

マルウェアが作成する以下のファイルは、脅迫状です。

• %Public%\Documents\RGNR_{8 Characters based on Computer Name}.txt
• {Encrypted Directory}\RGNR_{8 Characters based on Computer Name}.txt

(註：%Public%フォルダは、すべてのユーザ共通のファイルまたはフォルダのリポジトリとして機能するフォルダです。Windows Vista、7、8の場合、通常 "C:\Users\Public" です。)

マルウェアは、以下の内容を含む脅迫状のテキストファイルを残します。

以下のファイル拡張子を持つファイルについては暗号化しません：

• .db
• .sys
• .dll
• .lnk
• .msi
• .drv
• .exe