Ransom.Win64.ARCRYPT.YJEIT

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、バックドア活動の機能を備えていません。

マルウェアは、情報収集する機能を備えていません。

特定のファイル拡張子を持つファイルを暗号化します。 身代金要求文書のファイルを作成します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• {malware filepath}\log.txt → contains the status of encryption, deleted afterwards
  
• %Desktop%\userfile.cdci
• %Desktop%\userfile1.cdci

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、バックドア活動の機能を備えていません。

ルートキット機能

マルウェアは、ルートキット機能を備えていません。

プロセスの終了

マルウェアは、感染コンピュータ上で確認した以下のサービスを終了します。

• vss
• wbengine
• MongoDB
• SQLWriter
• MSSQLServerOLAPService
• MSSQLSERVER
• MSSQLFDLauncher
• MSSQLSQLEXPRESS
• MSSQL$ERASQL
• SQLSERVERAGENT
• ReportServer
• OracleServiceORCL
• OracleRemExecService
• OracleVssWriterORAFPC
• OracleServiceORAFPC
• Oracle Object Service
• OracleASMService+ASM2
• OracleMTSRecoveryService
• OracleOHService
• OracleOraCrs11g_home1TNSListener
• OracleOraCrs11g_home1TNSListenerLISTENER_SCAN1
• OracleJobSchedulerORAFPC
• OracleServiceSYS12
• OracleServiceZAC12
• postgresql-x64-13
• AssetViewCore
• AssetViewDBService
• AssetViewFileTransferService
• SQLBrowser
• OracleDBConsoleorcl
• OracleVssWriterORCL
• MySQL
• ASLogWatch
• CAARCUpdateSvc
• CASAD2DWebSvc
• CASDiscovery
• CASUniversalAgent
• HpePqiESrv
• Standby Express zac1
• Standby Express zac1 Agent

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• sql.exe
• dbsnmp.exe
• isqlplussvc.exe
• xfssvccon.exe
• mydesktopservice.exe
• ocautoupds.exe
• encsvc.exe
• tbirdconfig.exe
• mydesktopqos.exe
• ocomm.exe
• dbeng50.exe
• sqbcoreservice.exe
• excel.exe
• infopath.exe
• msaccess.exe
• mspub.exe
• onenote.exe
• outlook.exe
• powerpnt.exe
• thebat.exe
• thunderbird.exe
• visio.exe
• winword.exe
• wordpad.exe
• sqlwriter.exe
• oracle.exe
• ocssd.exe
• mysqld.exe
• mysqld-nt.exe
• mysqld-opt.exe
• sqlbrowser.exe
• sqlagent.exe
• msftesql.exe
• sqlservr.exe
• notepad.exe

情報漏えい

マルウェアは、情報収集する機能を備えていません。

その他

マルウェアは、以下を実行します。

• It requires to be executed with the password/passphrase in order to proceed with its malicious routine:
  • 3456qwer
• It requires to be executed as an administrator.
• It clears the event logs of the affected system.
• It encrypts local, removable, and network drives.
• It encrypts the recycle bin of the affected system.

マルウェアは、脆弱性を利用した感染活動を行いません。

ランサムウェアの不正活動

以下の拡張子を持つファイルを暗号化します：$$ DATA $$

• .xlsx
• .xlsm
• .odt
• .ost
• .ppt
• .pptm
• .ppsm
• .pptx
• .sldm
• .csv
• .dwg
• .dxf
• .dws
• .fcs
• .analysis
• .comp
• .compensation
• .vmdk
• .pst
• .msg
• .pdf
• .eml
• .wab
• .mdf
• .ldf
• .myd
• .dbf
• .pgsql
• .sql
• .sqlite
• .db
• .sqlite3
• .db2
• .cql
• .rdb
• .ova
• .vmdk
• .vmsd
• .vmx
• .vswp
• .WALLET
• .CLASS
• .INCPAS
• .ACCDR
• .ACCDT
• .ACCDE
• .D3DBSP
• .BACKUPDB
• .BACKUP
• .IBANK
• .PKPASS
• .MDDATA
• .MDBACKUP
• .vmem
• .hvd
• .vhdx
• .gdb
• .cbk
• .SYNCDB
• .LAYOUT
• .DAZIP
• .ARCH00
• .VPP_PC
• .MCMETA
• .MPQGE
• .LITEMOD
• .ASSET
• .FORGE
• .RGSS3A
• .WOTREPLAY
• .MRWREF
• .dmp
• .dump
• .rtf
• .nst
• .trx
• .cs
• .rpt
• .BLEND
• .DESIGN
• .YCBCRA
• .SQLITEDB
• .SAS7BDAT
• .PSAFE3
• .ERBSQL
• .DB-JOURNAL
• .MONEYWELL
• .vib
• .vbk
• .vbm
• .bak
• .trn
• .rdl
• .edb
• .config
• .ev
• .evtmp
• .ldb
• .mod
• .mkv
• .dat
• .ai
• .cab
• .mdbx
• .bkf
• .arc
• .srv
• .bkp

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• Program Files
• Program Files (x86)
• Windows
• AppData

マルウェアは、以下の名称を利用して暗号化されたファイルのファイル名を改称します。

• {19 random numbers}.SCBIN

マルウェアが作成する以下のファイルは、脅迫状です。

• %Desktop%\readme.txt
  

<補足>
インストール

マルウェアは、以下のファイルを作成します。

• {マルウェアのファイルパス}\log.txt → 暗号化の活動状況を含むが、後に削除される
  
• %Desktop%\userfile.cdci
• %Desktop%\userfile1.cdci

その他

マルウェアは、以下を実行します。

• 自身の不正活動を継続するためには、以下のパスワード/パスフレーズを使って実行される必要があります。
  • 3456qwer
• 管理者として実行される必要があります。
• 影響を受けるコンピュータのイベントログをクリアします。
• ローカルドライブ、リムーバブルドライブ、ネットワークドライブを暗号化します。
• 影響を受けるコンピュータのごみ箱を暗号化します。

ランサムウェアの不正活動

マルウェアは、以下の名称を利用して暗号化されたファイルのファイル名を改称します。

• {ランダムな数字19文字}.SCBIN