Ransom.Win32.WHITERABBIT.YACAET

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• {Malware Directory}\{Filename from argument} → If -l was used.

マルウェアは、以下のプロセスを追加します。

• cmd /c choice /t 9 /d y & attrib -h {Malware Filepath}\{Malware Filename} & del {Malware Filepath}\{Malware Filename}

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\{GUID}

プロセスの終了

マルウェアは、感染コンピュータ上で確認した以下のサービスを終了します。

• msexchange*
• msex-change*
• vss
• sql
• svc$
• memtas
• mepocs
• sophos
• veeam
• backup
• gxvss
• gxblr
• gxfwd
• gxcvd
• gxcimgr
• defwatch
• ccevtmgr
• ccsetmgr
• savroam
• rtvscan
• qbfcservice
• qbidpservice
• intuit.quickbooks.fcs
• qbcfmonitorservice
• yoobackup
• yooit
• zhudongfangyu
• stc _ raw _ agent
• vsnapvss
• veeamtransportsvc
• veeamdeploymentservice
• veeamnfssvc
• pdvfsservice
• backupexecvssprovider
• backupexeca-gentaccelerator
• backupexecagentbrowser
• backupexecdivecimediaservice
• backupexecjobengine
• backupexecmanagementservice
• backupexecrpcservice
• acrsch2svc
• acronisagent
• casad2dwebsvc
• caarcupdatesvc
• vmwp
• back
• xchange
• ackup
• acronis
• enterprise
• acrsch
• antivirus
• bedbg
• dcagent
• epsecurity
• epupdate
• eraser
• esgshkernel
• fa_scheduler
• iisadmin
• imap4
• mbam
• endpoint
• afee
• mcshield
• task
• mfemms
• mfevtp
• mms
• msdts
• exchange
• ntrt
• pdvf
• pop3
• report
• resvc
• sacsvr
• savadmin
• sams
• sdrsvc
• sepmaster
• monitor
• smcinst
• smcservice
• smtp
• snac
• swi_
• ccsf
• truekey
• tmlisten
• ui0detect
• w3s
• wrsvc
• netmsmq
• ekrn
• ehttpsrvn

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• *sqlserver*
• agntsvc
• avp
• backup
• calc
• cntaosmgr
• dbeng
• dbeng50
• dbsnmp
• ekrn
• encsvc
• eshasrv
• excel
• firefox
• firefoxconfig
• infopath
• isqlplussvc
• kavf
• klnagent
• mbamtray
• mfefire
• msaccess
• msdtc
• mspub
• mydesktop
• mydesktopqos
• mydesktopservice
• mysql*
• notepad
• ntrtscan
• ocautoupds
• ocomm
• ocssd
• onenote
• oracle
• outlook
• pccntmon
• powerpnt
• sofos
• sqbcoreservice
• sqbcoreser-vice
• sql*
• steam
• synctime
• tbirdconfig
• thebat
• thunderbird
• tmlisten
• veeam
• virtual
• visio
• vmcomp
• vmcompute
• vmms
• vmsp
• vmwp
• wbengine
• winword
• word
• wordpad
• xchange
• xfssvccon
• zoolz

その他

マルウェアは、以下を実行します。

• It requires to be executed with the password/passphrase in order to proceed with its malicious routine:
  • KissMe
• It will encrypt files found in the following set of drives in the affected system:
  • Fixed Drives
  • Removable Drives
  • Network Drives and Resources

マルウェアは、以下のパラメータを受け取ります。

• -p {password/passphrase}
• -f {file to encrypt}
• -l {logfile}
• -t {day}-{month}-{year} {hour}:{minute} → Use 24 Hour Format and 2 Digits

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• *\desktop.ini
• *\thumbs.db

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• c:\filesource\*
• c:\windows\*
• c:\programdata\*
• %User Temp%\*
• *:\sysvol\*
• *:\netlogon\*
• *:\windows\*
• *:\programfiles\*
• *:\program files (x86)\*
• *:\program files (x64)\*

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .scrypt

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Directory}\{Filename}.scrypt.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• *.scrypt.txt
• *.scrypt
• *.exe
• *.dll
• *.lnk
• *.iso
• *.msi
• *.sys
• *.inf