Ransom.Win64.BABXING.YEDHNT

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• cmd.exe /c "vssadmin delete shadows /all /quiet"
• bcdedit.exe /set {default} recoveryenabled no
• bcdedit.exe /set {default} bootstatuspolicy ignoreallfailures
• bcdedit.exe /set {current} recoveryenabled no
• bcdedit.exe /set {current} bootstatuspolicy ignoreallfailures
• cmd.exe /c pause

プロセスの終了

マルウェアは、感染コンピュータ上で確認した以下のサービスを終了します。

• vss
• sql
• svc$
• memtas
• mepocs
• sophos
• veeam
• backup
• GxVss
• GxBlr
• GxFWD
• GxCVD
• GxCIMgr
• DefWatch
• ccEvtMgr
• ccSetMgr
• SavRoam
• RTVscan
• QBFCService
• QBIDPService
• Intuit.QuickBooks.FCS
• QBCFMonitorService
• YooBackup
• YooIT
• zhudongfangyu
• stc_raw_agent
• VSNAPVSS
• VeeamTransportSvc
• VeeamDeploymentService
• VeeamNFSSvc
• PDVFSService
• BackupExecVSSProvider
• BackupExecAgentAccelerator
• BackupExecAgentBrowser
• BackupExecDiveciMediaService
• BackupExecJobEngine
• BackupExecManagementService
• BackupExecRPCService
• AcrSch2Svc
• AcronisAgent
• CASAD2DWebSvc
• CAARCUpdateSvc

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• sql.exe
• oracle.exe
• ocssd.exe
• dbsnmp.exe
• synctime.exe
• agntsvc.exe
• isqlplussvc.exe
• xfssvccon.exe
• mydesktopservice.exe
• ocautoupds.exe
• encsvc.exe
• firefox.exe
• tbirdconfig.exe
• mydesktopqos.exe
• ocomm.exe
• dbeng50.exe
• sqbcoreservice.exe
• excel.exe
• infopath.exe
• msaccess.exe
• mspub.exe
• onenote.exe
• outlook.exe
• powerpnt.exe
• steam.exe
• thebat.exe
• thunderbird.exe
• visio.exe
• winword.exe
• wordpad.exe
• notepad.exe

その他

マルウェアは、以下を実行します。

• It empties the Recycle Bin.
• It avoids encrypting files in the CD-ROM.
• It terminates running processes if the process filepath does not contain "\Windows\" and file size is 2MB or above.

マルウェアは、以下のパラメータを受け取ります。

• [paths] → Comma separated path list to encrypt (Required)
• --log [filename]

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• ===【 To Restore Files 】===.txt
• autorun.inf
• boot.ini
• bootfont.bin
• bootsect.bak
• bootmgr
• bootmgr.efi
• bootmgfw.efi
• desktop.ini
• iconcache.db
• ntldr
• ntuser.dat
• ntuser.dat.log
• ntuser.ini
• thumbs.db

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• AppData
• Boot
• Windows
• Windows.old
• Tor Browser
• Internet Explorer
• Google
• Opera
• Opera Software
• Mozilla
• Mozilla Firefox
• $Recycle.Bin
• System Volume Information
• ProgramData
• All Users
• Program Files
• Program Files (x86)
• #recycle

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• {Original File Name}.{Original File Extension}.x1nGx1nG

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Directory}\===【 To Restore Files 】===.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .exe (if file size < 2MB)
• .x1nGx1nG

<補足>
その他

マルウェアは、以下を実行します。

• ごみ箱を空にする
• CD-ROM 内のファイルの暗号化は回避する
• プロセスのファイルパスに「\Windows\」が含まれず、ファイルサイズが2MB以上の場合、実行中のプロセスを終了させる

マルウェアは、以下のパラメータを受け取ります。

• [paths] → 暗号化対象のカンマ区切りのパスリスト (必須)
• --log [filename]

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• {元のファイル名}.{元のファイル拡張子}.x1nGx1nG

以下のファイル拡張子を持つファイルについては暗号化しません：

• .exe (ファイルサイズが2MB未満の場合)
• .x1nGx1nG