Ransom.Win32.SODINOKIBI.AUWUJDES

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\{random characters}.bmp -> used as wallpaper

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\{GUID}

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\BlackLivesMatter
K6a = {hex values}

HKEY_LOCAL_MACHINE\SOFTWARE\BlackLivesMatter
kZpZ = {hex values}

HKEY_LOCAL_MACHINE\SOFTWARE\BlackLivesMatter
28XOs = {hex values}

HKEY_LOCAL_MACHINE\SOFTWARE\BlackLivesMatter
mlEdtU = {hex values}

HKEY_LOCAL_MACHINE\SOFTWARE\BlackLivesMatter
SUdOP6A = .{appended extension}

HKEY_LOCAL_MACHINE\SOFTWARE\BlackLivesMatter
etdwNrNw = {hex values}

マルウェアは、以下のレジストリキーを変更します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\Session Manager
PendingFileRenameOperations = {adds ??\{Malware Path}\{Malware Name}.exe to the existing list}

マルウェアは、以下のレジストリ値を変更し、デスクトップの壁紙を変更します。

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %User Temp%\{random characters}.bmp

マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。

プロセスの終了

マルウェアは、感染コンピュータ上で確認した以下のサービスを終了します。

• agntsvc
• avagent
• avscc
• bedbh
• benetns
• bengien
• beserver
• CagService
• cvd
• cvfwd
• CVMountd
• CVODS
• dbeng50
• dbsnmp
• DellSystemDetect
• disk+work
• encsvc
• EnterpriseClient
• excel
• firefox
• infopath
• isqlplussvc
• msaccess
• mspub
• mydesktopqos
• mydesktopservice
• ocautoupds
• ocomm
• ocssd
• onenote
• oracle
• outlook
• powerpnt
• pvlsvr
• QBCFMonitorService
• QBDBMgrN
• QBIDPService
• raw_agent_svc
• SAP
• saphostexec
• saposcol
• sapstartsrv
• sqbcoreservice
• sql
• steam
• synctime
• tbirdconfig
• TeamViewer.exe
• TeamViewer_Service.exe
• thebat
• thunderbird
• tv_w32.exe
• tv_x64.exe
• VeeamDeploymentSvc
• VeeamNFSSvc
• VeeamTransportSvc
• visio
• vsnapvss
• vxmon
• winword
• wordpad
• xfssvccon

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• agntsvc
• avagent
• avscc
• bedbh
• benetns
• bengien
• beserver
• CagService
• cvd
• cvfwd
• CVMountd
• CVODS
• dbeng50
• dbsnmp
• DellSystemDetect
• disk+work
• encsvc
• EnterpriseClient
• excel
• firefox
• infopath
• isqlplussvc
• msaccess
• mspub
• mydesktopqos
• mydesktopservice
• ocautoupds
• ocomm
• ocssd
• onenote
• oracle
• outlook
• powerpnt
• pvlsvr
• QBCFMonitorService
• QBDBMgrN
• QBIDPService
• raw_agent_svc
• SAP
• saphostexec
• saposcol
• sapstartsrv
• sqbcoreservice
• sql
• steam
• synctime
• tbirdconfig
• TeamViewer.exe
• TeamViewer_Service.exe
• thebat
• thunderbird
• tv_w32.exe
• tv_x64.exe
• VeeamDeploymentSvc
• VeeamNFSSvc
• VeeamTransportSvc
• visio
• vsnapvss
• vxmon
• winword
• wordpad
• xfssvccon

その他

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\BlackLivesMatter

マルウェアは、以下を実行します。

• It will terminate itself if the affected system's keyboard layout is any of the following:
  • Arabic - Syria
  • Armenian
  • Azerbaijan
  • Azerbaijani - Azerbaijan (Cyrillic)
  • Belarusian
  • Georgian
  • Kazakhstan
  • Kyrgyzstan
  • Romanian - (Moldova)
  • Russian
  • Russian - (Moldova)
  • Syriac - Syria
  • Tajikistan
  • Tatar – Russia
  • Turkmenistan
  • Ukrainian
  • Uzbek - Uzbekistan (Cyrillic)
  • Uzbekistan
• It wipes the contents of the following folder(s):
  • archive
  • back
  • backup
  • bck
• It accepts the following arguments:
  • -silent - skips the following:
    • Termination of blacklisted processes and services
    • Removal of shadow copies
  • -path - specifies directory to be encrypted
  • -nolocal - avoids encrypting fixed and removable drives
  • -nolan - avoids encrypting network and shared drives
  • -fast - fast encryption mode
• It removes the encrypted folder's access control list permissions if the current user has full control

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• ntldr
• desktop.ini
• iconcache.db
• boot.ini
• bootfont.bin
• autorun.inf
• thumbs.db
• ntuser.dat
• ntuser.dat.log
• bootsect.bak
• ntuser.ini

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• program files
• windows.old
• programdata
• perflogs
• $windows.~bt
• appdata
• application data
• google
• $windows.~ws
• windows
• tor browser
• msocache
• program files (x86)
• boot
• intel
• $recycle.bin
• mozilla
• system volume information

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .{random characters}

マルウェアは、以下の内容を含む脅迫状のテキストファイルを残します。

• {encrypted directory}\{appended extension}-readme.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• 386
• adv
• ani
• bat
• bin
• cab
• cmd
• com
• cpl
• cur
• deskthemepack
• diagcab
• diagcfg
• diagpkg
• dll
• drv
• exe
• hlp
• hta
• icl
• icns
• ico
• ics
• idx
• key
• ldf
• lnk
• lock
• mod
• mpa
• msc
• msi
• msp
• msstyles
• msu
• nls
• nomedia
• ocx
• prf
• ps1
• rom
• rtp
• scr
• shs
• spl
• sys
• theme
• themepack
• wpx

<補足>
インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\{ランダムな文字列}.bmp -> 壁紙として使用される

その他

マルウェアは、以下を実行します。

• 影響を受けるコンピュータのキーボードの配置が以下のいずれかの場合、自身の不正活動を終了します。
  • アラビア語 - シリア
  • アルメニア語
  • アゼルバイジャン語
  • アゼルバイジャン語 - アゼルバイジャン （キリル文字表記）
  • ベラルーシ語
  • グルジア語
  • カザフ語
  • キルギス語
  • ルーマニア語 - (モルドバ)
  • ロシア語
  • ロシア語 - (モルドバ)
  • シリア語 - シリア
  • タジク語
  • タタール語 – ロシア
  • トルクメン語
  • ウクライナ語
  • ウズベク語 - ウズベキスタン (キリル文字表記)
  • ウズベク語
• 以下のフォルダの内容を消去（ワイプ）します。
  • archive
  • back
  • backup
  • bck
• 以下の引数を受け取ります。
  • -silent - 以下をスキップします。
    • ブラックリストに登録されたプロセスおよびサービスの終了
    • シャドウコピーの削除
  • -path - 暗号化するディレクトリを指定する
  • -nolocal - 固定ドライブおよびリムーバブルドライブの暗号化を行わない
  • -nolan - ネットワークドライブおよび共有ドライブの暗号化を行わない
  • -fast - 高速暗号化モード
• 現在のユーザにフルコントロールが付与されている場合、暗号化されたフォルダへのアクセス制御リスト（ACL）権限を削除します。