Ransom.Win32.ZHONG.THEOCBC

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• vssadmin.exe delete shadows /all /quiet

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• MoreMoney

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• agntsvc.exe
• dbeng50.exe
• dbsnmp.exe
• encsvc.exe
• excel.exe
• firefox.exe
• infopath.exe
• isqlplussvc.exe
• msaccess.exe
• mspub.exe
• mydesktopqos.exe
• mydesktopservice.exe
• notepad.exe
• ocautoupds.exe
• ocomm.exe
• ocssd.exe
• onenote.exe
• oracle.exe
• outlook.exe
• powerpnt.exe
• sqbcoreservice.exe
• sql.exe
• steam.exe
• synctime.exe
• tbirdconfig.exe
• thebat.exe
• thunderbird.exe
• visio.exe
• winword.exe
• wordpad.exe
• xfssvccon.exe

その他

マルウェアは、以下を実行します。

• It encrypts files in local drives, removable drives and network shares.
• It empties the recycle bin.
• It terminates the following services and its dependents (excluding services related to system file or device drivers)
  • AcronisAgent
  • AcrSch2Svc
  • backup
  • BackupExecAgentAccelerator
  • BackupExecAgentBrowser
  • BackupExecDiveciMediaService
  • BackupExecJobEngine
  • BackupExecManagementService
  • BackupExecRPCService
  • BackupExecVSSProvider
  • CAARCUpdateSvc
  • CASAD2DWebSvc
  • ccEvtMgr
  • ccSetMgr
  • DefWatch
  • GxBlr
  • GxCIMgr
  • GxCVD
  • GxFWD
  • GxVss
  • Intuit.Quickbook.FCS
  • memtas
  • mepocs
  • PDVFSService
  • QBCFMonitorService
  • QBFCService
  • QBIDPService
  • RTVscan
  • SavRoam
  • sophos
  • sql
  • stc_raw_agent
  • svc$
  • veeam
  • VeeamDeploymentService
  • VeeamNFSSVc
  • VeeamTransportSvc
  • VSNAPVSS
  • vss
  • YooBackup
  • YooIT
  • zhudongfangyu

マルウェアは、以下のパラメータを受け取ります。

• debug
• shares
• paths
• sf

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• autorun.inf
• boot.ini
• bootfont.bin
• bootmgfw.efi
• bootmgr
• bootmgr.efi
• bootsect.bak
• desktop.ini
• helpzhong.exe
• iconcache.db
• ntldr
• ntuser.dat
• ntuser.dat.log
• ntuser.ini
• Restore.txt
• thumbs.db
• zhong.exe

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• #recycle
• $Recycle.Bin
• All Users
• AppData
• Boot
• Common Files
• Google
• Internet Explorer
• Microsoft
• Microsoft Update Health Tools
• Microsoft.NET
• ModifiableWindowsApps
• Mozilla
• Mozilla Firefox
• MSBuild
• Opera
• Opera Software
• ProgramData
• Reference Assemblies
• System Volume Information
• Uninstall Information
• VMware
• Windows
• Windows Defender
• Windows Defender Advanced Threat Protec
• Windows Mail
• Windows Media Player
• Windows Multimedia Platform
• Windows NT
• Windows Photo Viewer
• Windows Portable Devices
• Windows Security
• Windows Sidebar
• Windows.old
• WindowsApps
• WindowsPowerShell

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .zhong

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Directory}\Restore.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .exe
• .sys
• .dll
• .tmp
• .zhong