Ransom.Win32.VENUS.B

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、実行後、自身を削除します。

身代金要求文書のファイルを作成します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成し実行します。

• %Windows%\{Malware Filename}.exe

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、以下のプロセスを追加します。

• "%Windows%\{Malware Filename}.exe" g g g o n e123
• /C taskkill /F /IM {Process to terminate} → Terminates hardcoded list of processes
• /C wbadmin delete catalog -quiet && vssadmin.exe delete shadows /all /quiet && bcdedit.exe /set {current} nx alwaysOff && wmic SHaDOWCOPY DELETE → Deletes system event logs and Shadow copies
• "%Windows%\SysWOW64\mshta.exe" "%User Temp%\32931062991972502381.hta"
• /c ping localhost -n 3 > nul & del {Malware Path}\{Malware Filename}.exe → Deletes the original malware file

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、実行後、自身を削除します。

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• {Random 20 character string}

自動実行方法

マルウェアは、作成されたコンポーネントがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{Malware Filename} = %Windows%\{Malware Filename}.exe

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion
pbsecGOOD = {Random Characters}

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion
secpbGOOD = {Random Characters}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
.venus
Default = %Windows%\{Random 20 character string}.png

マルウェアは、以下のレジストリ値を変更し、デスクトップの壁紙を変更します。

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %User Temp%\{Random 20 character string}.jpg

マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。

• %User Temp%\{Random 20 character string}.jpg
  

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• msftesql.exe
• sqlagent.exe
• sqlbrowser.exe
• sqlservr.exe
• sqlwriter.exe
• oracle.exe
• ocssd.exe
• dbsnmp.exe
• synctime.exe
• mydesktopqos.exe
• agntsvc.exe
• isqlplussvc.exe
• xfssvccon.exe
• mydesktopservice.exe
• ocautoupds.exe
• agntsvc.exe
• agntsvc.exe
• agntsvc.exe
• encsvc.exe
• firefoxconfig.exe
• tbirdconfig.exe
• ocomm.exe
• mysqld.exe
• mysqld-nt.exe
• mysqld-opt.exe
• dbeng50.exe
• sqbcoreservice.exe
• excel.exe
• infopath.exe
• msaccess.exe
• mspub.exe
• onenote.exe
• outlook.exe
• powerpnt.exe
• sqlservr.exe
• thebat64.exe
• thunderbird.exe
• winword.exe
• wordpad.exe
• msftesql.exe
• sqlagent.exe
• sqlbrowser.exe
• sqlservr.exe
• sqlwriter.exe
• oracle.exe
• ocssd.exe
• dbsnmp.exe
• synctime.exe
• mydesktopqos.exe
• agntsvc.exe
• isqlplussvc.exe
• xfssvccon.exe
• mydesktopservice.exe
• ocautoupds.exe
• agntsvc.exe
• agntsvc.exe
• agntsvc.exe
• encsvc.exe
• firefoxconfig.exe
• tbirdconfig.exe
• ocomm.exe
• mysqld.exe
• mysqld-nt.exe
• mysqld-opt.exe
• dbeng50.exe
• sqbcoreservice.exe
• excel.exe
• infopath.exe
• msaccess.exe
• mspub.exe
• onenote.exe
• outlook.exe
• powerpnt.exe
• sqlservr.exe
• thebat64.exe
• thunderbird.exe
• winword.exe
• wordpad.exe

作成活動

マルウェアは、以下のファイルを作成します。

• %Windows%\{Random 20 character string}.png
• %User Temp%\{Random 20 character string}.jpg
• {Drive letter}:\{Random string derived from Volume Serial Number}.goodgame
• \{Server Host Name}\{Encrypted Folder}\{Random string derived from Volume Serial Number}.goodgame

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

その他

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
.venus

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
.venus\DefaultIcon

マルウェアは、以下を実行します。

• It encrypts files found in the following drive types:
  • Fixed drive
  • Removable drive
  • Network drive
• It changes the icons of encrypted files with the following image:
  

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• venus
• README.txt
• README.html

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• Tor Browser
• Windows
• dropbox
• iexplorer

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .venus

マルウェアが作成する以下のファイルは、脅迫状です。

• {Drive letter}:\README.html
  
• %User Temp%\{Random 20 character string}.hta
  

<補足>
インストール

マルウェアは、以下のファイルを作成し実行します。

• %Windows%\{マルウェアのファイル名}.exe

マルウェアは、以下のプロセスを追加します。

• "%Windows%\{マルウェアのファイル名}.exe" g g g o n e123
• /C taskkill /F /IM {終了するプロセス} → ハードコードされたリストのプロセスの終了
• /C wbadmin delete catalog -quiet && vssadmin.exe delete shadows /all /quiet && bcdedit.exe /set {カレント} nx alwaysOff && wmic SHaDOWCOPY DELETE → システムイベントログおよびシャドウコピーの削除
• "%Windows%\SysWOW64\mshta.exe" "%User Temp%\32931062991972502381.hta"
• /c ping localhost -n 3 > nul & del {マルウェアパス}\{マルウェアのファイル名}.exe → 元のマルウェアファイルの削除

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• {ランダムな20文字}

作成活動

マルウェアは、以下のファイルを作成します。

• %Windows%\{ランダムな20文字}.png
• %User Temp%\{ランダムな20文字}.jpg
• {ドライブ文字}:\{ボリュームシリアル番号から生成されたランダムな文字列}.goodgame
• \{サーバのホスト名}\{暗号化されたフォルダ}\{ボリュームシリアル番号から生成されたランダムな文字列}.goodgame

その他

マルウェアは、以下を実行します。

• 以下のドライブ内に存在するファイルを暗号化します。
  • 固定ドライブ
  • リムーバブルドライブ
  • ネットワークドライブ
• マルウェアは、暗号化されたファイルのアイコンを以下の画像に変更します。