Ransom.Win64.EDANAV.THCOCBC

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• "cmd.exe" /c ping 127.0.0.1 -n 3 > Nul & Del /f /q {Malware File Name} →if the parameter -sd is used
• "bcdedit" /set (default) safeboot network →if the parameter -sm is used
• "shutdown" -r →if the parameter -sm is used

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control
ServicesPipeTimeout = 0x05265c00(86400000)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot\Network\
nevada
(Default) = Service

マルウェアは、以下のレジストリキーを削除します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot\Network\
WinDefend

その他

マルウェアは、以下のレジストリキーを追加します。

HKLM\SYSTEM\CurrentControlSet\
Control\SafeBoot\Network\
nevada

マルウェアは、以下を実行します。

• It accepts the following arguments:
  • -help → display help option
  • -file {file path} → encrypt selected file
  • -dir {directory} → encrypt selected directory
  • -sd → enable self-deletion after encryption
  • -sc → delete shadow copies
  • -lhd → load hidden drives
  • -nd → find and encrypt network shares
  • -sm → enable safe mode
• It checks the User's Default language. If one of the following then it terminates itself:
  • 419 → Russian (Russia)
  • 443 → Uzbek - Latin (Uzbekistan)
  • 440 → Kyrgyz - Cyrillic (Kyrgyztan)
  • 423 → Belarusian (Belarus)
  • 42C → Azeri (Azerbaijan)
  • 428 → Tajik (Tajikistan)
  • 42B → Armenian (Armenia)
  • 444 → Tatar (Russia)
  • 819 → Russian (Moldova)
• It creates a pipe named:
  • \.\pipe\__rust_anonymous_pipe1__.[Process ID].[Random Numbers]
• It displays activity logs in the console.
• It is rust compiled

ランサムウェアの不正活動

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• Windows
• Program Files
• Program Files (x86)
• AppData
• Programdata
• System volume information

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .NEVADA

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Directory}\readme.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• exe
• ini
• dll
• url
• lnk
• scr