Ransom.Win32.UPPER.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、実行後、自身を削除します。

以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• %System%\vssadmin.exe delete shadows /all /quiet → deletes shadow copies

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• ocssd.exe
• fdlauncher.exe
• ocautoupds.exe
• firefoxconfig.exe
• sqlwriter.exe
• sqlagent.exe
• mysqld-nt.exe
• MsDtsSrvr.exe
• postgres.exe
• sqlservr.exe
• synctime.exe
• sqlserv.exe
• Ssms.exe
• oracle.exe
• UniFi.exe
• fdhost.exe
• mydesctopservice.exe
• mysqld-opt.exe
• ocomm.exe
• tbirdconfig.exe
• ntdbsmgr.exe
• sqlceip.exe
• mysqld.exe
• dbsnmp.exe
• msmdsrv.exe
• sqlbrowser.exe
• pg_ctl.exe
• msftesql.exe

その他

マルウェアは、以下を実行します。

• It terminates the following services:
  • UniFi
  • MSSQLSERVER
  • SQLSERVERAGENT
  • SQLWriter
  • vmms
  • MSSQL
  • SQLAgent
  • MSSQLFDLauncher
  • SQLBrowser
  • Browser

マルウェアは、実行後、自身を削除します。

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• infoUPPER.txt

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• AppData

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• C:\Windows
• C:\System Volume Information

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .UPPER

マルウェアは、以下の内容を含む脅迫状のテキストファイルを残します。

• {Encrypted Directory}\infoUPPER.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .bat
• .cmd
• .com
• .cpl
• .dll
• .lnk
• .ms
• .msc
• .msp
• .pif
• .scr
• .sys
• .UPPER