Ransom.Win64.FUNKSEC.THAOFBE

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のWebサイトからファイルをダウンロードし、ファイル名を変更した後、感染コンピュータ内に保存します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

特定のファイル拡張子を持つファイルを暗号化します。 身代金要求文書のファイルを作成します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• {malware filepath}\downloaded_wallpaper.jpg → desktop wallpaper after encryption

マルウェアは、以下のプロセスを追加します。

• %System%\net.exe
• %System%\tasklist.exe /fi "IMAGENAME eq vmware"
• powershell -Command Set-MpPreference -DisableRealtimeMonitoring $true
• powershell -Command wevtutil sl Security /e:false
• powershell -Command Set-ExecutionPolicy Bypass -Scope Process -Force
• vssadmin delete shadows /all /quiet

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

他のシステム変更

マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。

プロセスの終了

マルウェアは、感染コンピュータ上で確認した以下のサービスを終了します。

• wuauserv
• bits
• Spooler
• DockApp
• MpsSvc
• XblGameSave
• DiagTrack
• SysMain
• lfsvc
• seclogon
• wscsvc
• trkwks
• RemoteRegistry
• netprofm
• Netsh
• twinapi.appcore
• TimeBrokerSvc
• RasMan
• sshd
• LanmanWorkstation
• CryptSvc
• EventLog
• WinDefend

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• chrome.exe
• firefox.exe
• explorer.exe
• outlook.exe
• spotify.exe
• vlc.exe
• skype.exe
• teams.exe
• discord.exe
• java.exe
• python.exe
• node.exe
• javaw.exe
• winword.exe
• excel.exe
• powerpnt.exe
• cmd.exe
• powershell.exe
• notepad++.exe
• gimp-2.10.exe
• photoshop.exe
• iTunes.exe
• system32.exe

ダウンロード活動

マルウェアは、以下のWebサイトからファイルをダウンロードし、ファイル名を変更した後、感染コンピュータ内に保存します。

• https://{BLOCKED}r.com/HCYQoVR.jpeg → desktop wallpaper after encryption

その他

マルウェアは、以下を実行します。

• It checks for the presence of the following virtual environment-related strings in the system:
  • vboxservice
  • qemu
  • hyperv
  • vmware

ただし、情報公開日現在、このWebサイトにはアクセスできません。

ランサムウェアの不正活動

以下の拡張子を持つファイルを暗号化します：$$ DATA $$

• txt
• csv
• docx
• xlsx
• pdf
• json
• xml
• sql
• log
• html
• css
• js
• php
• py
• java
• c
• cpp
• sh
• bat
• ini
• yaml
• md
• rtf
• ts
• jsx
• tsx
• pptx
• odt
• ods
• odp
• msg
• eml
• apk
• ipa
• exe
• dll
• dmg
• iso
• vmdk
• vhd
• tgz
• 7z
• zip
• tar
• rar
• bak
• db
• mdb
• sqlite
• hdf5
• parquet
• avro
• etl
• pfx
• cer
• pem
• csr
• key
• pgp
• kdbx
• gpg
• tar.gz
• xz
• dbf
• tiff
• raw
• ai
• psd
• indd
• eps
• svg
• dwg
• dxf
• fla
• flv
• mov
• mp4
• avi
• mkv
• mp3
• wav
• flac
• aac
• ogg
• wma
• webm
• m3u
• cue
• midi
• ps
• tex
• bib
• chm
• epub
• azw3
• fb2
• djvu
• opf
• xps
• jar
• war
• ear
• pdb
• msi
• deb
• rpm
• vcs
• git
• svn
• nfs
• bin
• bkp
• lst
• dat
• png

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• {original filename}.{original extension}.funksec

マルウェアが作成する以下のファイルは、脅迫状です。

• {malware filepath}\README-{10 random alphanumeric}.md