Ransom.Win64.CROSSLOCK.THDAHBC

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• %System%\notepad.exe → used to patch ntdll.dll and bypass ETW
• cmd.exe /c "wevtutil cl application"
• cmd.exe /c "vssadmin delete shadows /all /quiet"
• cmd.exe /c "wbadmin DELETE SYSTEMSTATEBACKUP -deleteOldest"
• cmd.exe /c "wbadmin DELETE SYSTEMSTATEBACKUP"
• cmd.exe /c "wbadmin delete catalog -quiet"
• cmd.exe /c "bcdedit /set {default} recoveryenabled No"
• cmd.exe /c "bcdedit /set {default} bootstatuspolicy ignoreallfailures"
• cmd.exe /c "wevtutilcl system"
• cmd.exe /c "wevtutilcl security"
• If the parameter --uac or -ub is used and the executable is executed without administrative privileges:
  • cmd.exe /c "reg add HKCU\Software\Classes\mscfile\shell\open\command /ve /d \"{Malware File Path}\{Malware File Name}\" /f"
  • cmd.exe /c "C:\windows\system32\eventvwr.exe"
  • cmd.exe /c "reg delete HKCU\Software\Classes\mscfile /f"
• If the parameter combination --host or -H, --user or -u, and --pwd or -p is used:
  • cmd.exe /c "net use \{Host Name}\IPC$ /u:{Username} {Password}"

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

プロセスの終了

マルウェアは、感染コンピュータ上で確認した以下のサービスを終了します。

• SQLSERVERAGENT
• SQLTELEMETRY
• MSSQLSERVER
• WIDWriter
• SQLWriter
• vss
• sql
• svc$
• memtas
• mepocs
• sophos
• veeam
• backup
• GxVss
• GxBlr
• GxFWDG
• GxCVDG
• GxCIMgr
• DefWatch
• ccEvtMgr
• ccSetMgr
• SavRoam
• RTVscan
• QBFCService
• QBIDPService
• Intuit
• QuickBooks.
• FCS
• QBCFMonitorService
• YooBackup
• YooIT
• zhudongfangyu
• sophos
• stc_raw_agent
• VSNAPVSS
• VeeamTransportSvc
• VeeamDeploymentService
• VeeamNFSSvc
• veeam
• PDVFSService
• BackupExecVSSProvider
• BackupExecAgentAccelerator
• BackupExecAgentBrowser
• BackupExecDiveciMediaService
• BackupExecJobEngine
• BackupExecManagementService
• BackupExecRPCService
• AcrSch2Svc
• AcronisAgent
• CASAD2DWebSvc
• CAARCUpdateSvc

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• sql
• oracle
• ocssd
• dbsnmp
• synctime
• agntsvc
• isqlplussvc
• xfssvccon
• mydesktopservice
• ocautoupds
• encsvc
• firefox
• tbirdconfig
• mydesktopqos
• ocomm
• dbeng50
• sqbcoreservice
• excel
• infopath
• msaccess
• mspub
• onenote
• outlook
• powerpnt
• steam
• thebat
• thunderbird
• visio
• winword
• wordpad
• notepad
• sqlwriter
• sqlservr
• javaw
• java
• bpjava-susvc
• nbproxy
• avrd
• tldd
• bpdbm
• vmd
• bpjobd
• bprd
• nbpem
• nbjm
• bpcd
• bpinetd
• nbemm
• nbaudit
• nbars
• nbvault
• nbstserv
• nbsvcmon
• nbsl
• nbrb
• nbrmms
• vnetd
• nbim
• nbevtmgr
• nbdisco
• nbatd
• ltid
• pbx_exchange
• dbsrv17
• bpcompatd
• secfsd

その他

マルウェアは、以下を実行します。

• It checks if the process is executed in a WINE environment.
• It bypasses Event Tracing for Windows by patching the ntdll.dll module.
• It displays the following on the console during encryption:
  

マルウェアは、以下のパラメータを受け取ります。

• -h → Help Menu
  
• --path, -P → Encrypt the specified path
• --host, -H → Remote address name or DNS
• --domain, -d → Domain name, the default domain name is (.)
• --user, -u → Username to be used for authentication, use it with remote host and password
• --pwd, -p → Password to be used for authentication, use it with remote host and username
• --uac, -ub Bypass UAC, default is false

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• ---CrossLock_readme_To_Decrypt---.txt
• autorun.inf
• boot.ini
• bootfont.bin
• bootsect.bak
• bootmgr
• bootmgr.efi
• bootmgfw.efi
• desktop.ini
• iconcache.db
• ntldr
• ntuser.dat
• ntuser.dat.log
• ntuser.ini
• thumbs.db

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• AppData
• Boot
• Windows
• Windows.old
• temp
• perflogs
• Tor Browser
• Internet Explorer
• Google
• Opera
• Opera Software
• Mozilla
• Mozilla Firefox
• $RECYCLE.BIN
• $Recycle.Bin
• System Volume Information
• ProgramData
• All Users
• application data
• Program Files
• Program Files (x86)
• #recycle
• Perl64
• Perl
• Python3
• Python27
• Python
• intel
• msocache
• $windows.~ws

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• {Original File Name}.{Original File Extension}.crlk

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Directory}\---CrossLock_readme_To_Decrypt---.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .bak
• .bat
• .bin
• .blf
• .ckp
• .cmd
• .com
• .crlk
• .dacpac
• .dat
• .db-shm
• .db-wal
• .dbc
• .diagcab
• .diagcfg
• .diagpkg
• .dll
• .exe
• .hta
• .icns
• .idx
• .inf
• .key
• .lnk
• .lock
• .log
• .log1
• .log2
• .msi
• .msstyles
• .mwb
• .nls
• .ocx
• .prf
• .ps1
• .reg
• .regtrans-ms
• .rnd
• .scr
• .search-ms
• .sql
• .sqlite
• .sqlite3
• .sys
• .tmd