Ransom.Win64.EBANUL.THFBHBD

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• nvxkjcv7yxctvgsdfjhv6esdvsx

プロセスの終了

マルウェアは、感染コンピュータ上で確認した以下のサービスを終了します。

• Sophos
• Symantec
• McAfee
• Avast
• Defender
• Malwarebytes
• Windows Defender
• BitDefender
• Spyhunter
• Kaspersky
• SentinelOne
• Acronis
• Symantec
• Veeam
• SQL Safe
• Microsoft SQL Server
• MySQL
• IBM DB2
• Oracle
• Microsoft Exchange
• VMWare
• BlueStripe
• ProLiant
• Alerter
• Eventlog
• UI0Detect
• WinVNC4

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• Symantec/Norton
• McAfee
• AVG
• Kaspersky
• Bitdefender
• Trend Micro
• Malware Bytes
• VMware
• Proficy
• Microsoft
• IBM
• BMC
• Microsoft SQL Server
• Oracle
• MySQL
• TeamViewer
• VNC
• Google
• Firefox
• Chrome
• Microsoft Office

その他

マルウェアは、以下のパラメータを受け取ります。

• -v / --verbose
• -no-mutex
• --exit-safe-boot
• --sd-killer-off → skips to file encryption
• -p {path to encrypt}
• -m {all | local | net | backups}
• -l {output to log file}
• -s

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• readme.txt
• NBA_LOG.txt

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• tmp
• temp
• winnt
• thumb
• $Recycle.Bin
• $RECYCLE.BIN
• System Volume Information
• Boot
• Windows
• Trend Micro
• perflogs

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• {original filename}.{original extension}.NBA

マルウェアが作成する以下のファイルは、脅迫状です。

• {encrypted directory}/readme.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .NBA
• .exe
• .dll
• .lnk
• .sys
• .msi
• .bat

<補足>
その他

マルウェアは、以下のパラメータを受け取ります。

• -v / --verbose
• -no-mutex
• --exit-safe-boot
• --sd-killer-off → ファイルの暗号化をスキップする
• -p {暗号化対象のパス}
• -m {all | local | net | backups}
• -l {ログファイルへの出力情報}
• -s