Ransom.Win32.TARGETCOMP.SMYXCLAZ

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

特定のファイル拡張子を持つファイルを暗号化します。 身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• vssadmin.exe delete shadows /all /quiet
• cmd.exe /cbcedit /set {current} bootstatuspolicy ignorefailures
• cmd.exe /c bcedit /set {current} recoveryenabled no
• sc delete {name of service}
• taskkill -f -im {name of process}

自動実行方法

マルウェアは、以下のサービスを開始します。

• mallox

他のシステム変更

マルウェアは、以下のレジストリキーを変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows NT\Terminal Services
MaxConnectionTime = 0 → no time limit for remote desktop connection

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
shutdownwithoutlogon = 0 → prevents user from shutting down without logging on first

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows NT\Terminal Services
MaxIdleTime = 0 → immediately disconnect after idling

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows NT\Terminal Services
MaxDisconnectionTime = 0 → immediately log off after disconnection of remote desktop connection

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
PolicyManager\default\Start\
Hide
ShutDown = 0 → hides shut down option

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
PolicyManager\default\Start\
Hide
Restart = 0 → hides restart option

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
PolicyManager\default\Start\
Hide
SignOut = 0 → hides sign out option

マルウェアは、以下のレジストリキーを削除します。

HKEY_CURRENT_USER\SOFTWARE\Raccine → ransomware protection tool

HKEY_LOCAL_MACHINE\SOFTWARE\Raccine → ransomware protection tool

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
vssadmin.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
wmic.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
wbadmin.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
bcdedit.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
powershell.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
diskshadow.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
net.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
taskkill.exe

プロセスの終了

マルウェアは、感染コンピュータ上で確認した以下のサービスを終了します。

• MSSQLFDLauncher
• MSSQLSERVER
• SQLSERVERAGENT
• SQLBrowser
• SQLTELEMETRY
• MsDtsServer130
• SSISTELEMETRY130
• SQLWriter
• MSSQL$VEEAMSQL2012
• SQLAgent$VEEAMSQL2012
• MSSQL
• SQLAgent
• MSSQLServerADHelper100
• MSSQLServerOLAPService
• MsDtsServer100
• ReportServer
• SQLTELEMETRY$HL
• TMBMServer
• MSSQL$PROGID
• MSSQL$WOLTERSKLUWER
• SQLAgent$PROGID
• SQLAgent$WOLTERSKLUWER
• MSSQLFDLauncher$OPTIMA
• MSSQL$OPTIMA
• SQLAgent$OPTIMA
• ReportServer$OPTIMA
• msftesql$SQLEXPRESS
• postgresql-x64-9.4

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• sqlbrowser.exe
• sqlwriter.exe
• sqlservr.exe
• msmdsrv.exe
• MsDtsSrvr.exe
• sqlceip.exe
• fdlauncher.exe
• Ssms.exe&&taskkill -f -imSQLAGENT.EXE
• fdhost.exe
• fdlauncher.exe
• sqlservr.exe
• ReportingServicesService.exe
• msftesql.exe
• pg_ctl.exe
• postgres.exe

情報漏えい

マルウェアは、以下の情報を収集します。

• Hostname
• System Architecture
• Number of Processors
• Local IP Address
• System Locale
• OS Version
• System Volume Information

情報収集

マルウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• https://{BLOCKED}s.io/QWEwqdsvsf/ap.php

その他

マルウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• {BLOCKED}ify.org

マルウェアは、以下を実行します。

• It only encrypts files with a files size that is greater than or equal to 10kB.
• It terrminates itself if the following countries were found in the affected system:
  • Russian
  • Kazakh
  • Belarusian
  • Ukrainian
  • Tatar
• It blocks any system shutdown / reboot and displays the following message:
  • Do NOT shutdown OR reboot your PC: this might damage your files permanently !
• It encrypts from local drives, removable drives, and network shares.

マルウェアは、以下のパラメータを受け取ります。

• -l
• -d
• -p
• -path {path to encrypt}

ランサムウェアの不正活動

以下の拡張子を持つファイルを暗号化します：$$ DATA $$

• bak
• zip
• rar
• 7z
• gz
• sql
• mdf
• hdd
• vhd
• vdi
• vmx
• vmdk
• nvram
• vmem
• vmsn
• vmsd
• vmss
• lck
• vhdx
• vhd
• dbf
• ora
• oraenv
• dmp
• ibd
• mdb
• smd
• mdb

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• desktop.ini
• ntuser.dat
• thumbs.db
• iconcache.db
• ntuser.ini
• ntldr
• bootfont.bin
• ntuser.dat.log
• bootsect.bak
• boot.ini
• autorun.inf
• debugLog.txt
• TargetInfo.txt
• mallox.exe
• FILE RECOVERY.txt

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• msocache
• $windows.~ws
• system volume information
• intel
• appdata
• perflogs
• programdata
• google
• application data
• tor browser
• boot
• $windows.~bt
• mozilla
• boot
• windows.old
• Windows Microsoft.NET
• WindowsPowerShell
• Windows NT
• Windows
• Common Files
• Microsoft Security Client
• Internet Explorer
• Reference
• Assemblies
• Windows Defender
• Microsoft ASP.NET
• Core Runtime
• Package
• Store
• Microsoft Help Viewer
• Microsoft MPI
• Windows Kits
• Microsoft.NET
• Windows Mail
• Microsoft Security Client
• Package Store
• Microsoft Analysis Services
• Windows Portable Devices
• Windows Photo Viewer
• Windows Sidebar

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• {original filename}.{original extension}.mallox

マルウェアが作成する以下のファイルは、脅迫状です。

• {all affected directories}\FILE RECOVERY.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• msstyles
• icl
• idx
• avast
• rtp
• mallox
• sys
• nomedia
• dll
• hta
• cur
• lock
• cpl
• Globeimposter-Alpha865qqz
• ics
• hlp
• com
• spl
• msi
• key
• mpa
• rom
• drv
• bat
• 386
• adv
• diangcab
• mod
• scr
• theme
• ocx
• prf
• cab
• diagcfg
• msu
• cmd
• ico
• msc
• ani
• icns
• diagpkg
• deskthemepack
• wpx
• msp
• bin
• themepack
• shs
• nls
• exe
• lnk
• ps1
• mallox

感染活動

マルウェアは、以下のフォルダ（管理共有）内に以下として自身のコピーを作成します。

• \224.0.0.22\admin$\mallox.exe

<補足>
情報漏えい

マルウェアは、以下の情報を収集します。

• ホスト名
• システムアーキテクチャ
• プロセッサ数
• ローカルIPアドレス
• システムロケール
• オペレーティングシステム(OS)のバージョン
• システムボリューム情報

以下のファイル内に収集したデータを保存します。

• {マルウェアパス}\TargetInfo.txt
  

その他

マルウェアは、以下を実行します。

• ファイルサイズが10kB以上のファイルのみを暗号化します。
• 影響を受けるシステム内で以下のシステムロケール（国）が確認された場合、自身の不正活動を終了します。
  • ロシア語
  • カザフ語
  • ベラルーシ語
  • ウクライナ語
  • タタール語
• 感染コンピュータのシャットダウン/再起動をブロックして、以下のメッセージを表示します。
  • Do NOT shutdown OR reboot your PC: this might damage your files permanently !（日本語訳：PCのシャットダウンまたは再起動を行わないでください。ファイルが永久に損傷する可能性があります！）
• ローカルドライブ、リムーバブルドライブ、ネットワーク上の共有ドライブを暗号化します。