Ransom.Win32.ZHEN.THIBDBO

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

特定のファイル拡張子を持つファイルを暗号化します。 身代金要求文書のファイルを作成します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• If not run in %ProgramData% directory
  • %ProgramData%\{malware name} -copy of itself
• %Public%\Desktop\Decryptor.lnk - shortcut to %ProgramData%\{malware name} -ui
• %Public%\Desktop\Read For Decryption.lnk - shortcut to ransome note in %ProgramData%\read.ini
• %ProgramData%\1.bmp - used as desktop background after malware execution
• %ProgramData%\MSWINSCK.OCX -normal dll file
• %ProgramData%\x86.exe - detected as HackTool.Win32.MIMIKATZ.SMGD
• %ProgramData%\chk.dat - empty file used as indicator

マルウェアは、以下のプロセスを追加します。

• %ProgramData%\{malware name} - if malware is not run in %ProgramData%
• "%System%\taskkill.exe" /F /IM MSExchange*
• "%System%\taskkill.exe" /F /IM Microsoft*
• "%System%\taskkill.exe" /F /IM ora*
• "%System%\taskkill.exe" /F /IM tns*
• "%System%\taskkill.exe" /F /IM sql*
• "%System%\taskkill.exe" /F /IM postgres*
• "%System%\cmd.exe" /c logoff
• "%System%\wbadmin.exe" delete catalog -quiet
• "%System%\bcedit.exe" /set {default} bootstatuspolicy ignoreallfailures
• "%System%\bcedit.exe" /set {default} recoveryenabled no

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 . %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKCU\Software\Microsoft\
Windows\CurrentVersion\Run
Zhen = "C:\ProgramData\{malware name}" -ui

他のシステム変更

マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• mysqld.exe
• sqlservr.exe
• sqlwriter.exe
• sqlceip.exe
• TiWorker.exe
• mcbuilder.exe
• jenkins.exe
• java.exe

その他

マルウェアは、以下を実行します。

• It shows the following after the user logs in to show bitcoin payment window:
  • 
• It does the following using HackTool.Win32.MIMIKATZ.SMGD
  • Checks if it has appropriate permissions to continue
  • Lists all available provider credentials
  • Impersonates a token
  • Get the SysKey to decrypt SAM entries (from registry or hive)
• It also encrypts files in removable drives.

ランサムウェアの不正活動

以下の拡張子を持つファイルを暗号化します：$$ DATA $$

• .backupdb
• .bas
• .py
• .pyc
• .pdf
• .ost
• .mail
• .bak
• .cfg
• .sql
• .log
• .doc
• .xml
• .proj
• .dot
• .docx
• .docm
• .dotx
• .docb
• .xls
• .xlt
• .xlm
• .xlsx
• .xlsm
• .xltx
• .xltm
• .xlsb
• .xla
• .xlam
• .xll
• .xlw
• .ppt
• .pot
• .pps
• .pptx
• .pptm
• .potx
• .potm
• .ppam
• .ppsx
• .ppsm
• .sldx
• .sldm
• .ACCDB
• .SQLITE3
• .ACCDR
• .txt
• .ned
• .ntm
• .flt
• .nrp
• .db
• .3fr
• .ai
• .arw
• .bay
• .cdr
• .cer
• .cr2
• .crt
• .crw
• .dbf
• .dcr
• .der
• .dng
• .dwg
• .dxf
• .dxg
• .eps
• .java
• .jpeg
• .jpg
• .SQLITEDB
• .mdb
• .mdf
• .mef
• .mrw
• .nef
• .png
• .odb
• .odm
• .odp
• .ods
• .aspx
• .asp
• .odt
• .css
• .p12
• .edb
• .config
• .php
• .htm
• .html
• .p7c
• .class
• .pef
• .pem
• .pfx
• .psd
• .pst
• .r3d
• .raw
• .rw2
• .rar
• .cs
• .vb
• .cpp
• .wpd
• .wps
• .xlk
• .vmx
• .ovf
• .conf
• .sln
• .rtf
• .vmdk
• .zip
• .VBK
• .VIB
• .VRB
• .VBM
• .BCO
• .DEM
• .ova
• .backup
• .vhd
• .AVHD
• .VMCX
• .v2i
• .iv2i
• .sv2i
• .fbf
• .vud
• .vsv
• .nvram
• .eml
• .emlx
• .7z
• .csv
• .key
• .js
• .sap

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .zhen

マルウェアが作成する以下のファイルは、脅迫状です。