Ransom.Win64.HEXALOCK.THAOBBE.go

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

特定のフォルダ内のファイルを暗号化します。 身代金要求文書のファイルを作成します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、異なるファイル名を用いて以下のフォルダ内に自身のコピーを作成します。

• %Application Data%\MyApp\myapp.exe

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のファイルを作成します。

• %System Root%\error_log.txt
• %AppDataLocal%\DataHexaLocker\data_{Random}.zip → contains stolen .pdf files

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

マルウェアは、以下のプロセスを追加します。

• %System Root%\SGDYSRE67T43TVD6E5RD.exe
• wmic csproduct get UUID
• notepad %Desktop%\ReadMe.txt

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\Desktop" です。)

マルウェアは、以下のフォルダを作成します。

• %Application Data%\MyApp
• %AppDataLocal%\DataHexaLocker

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
MyAppAutostart = %Application Data%\MyApp\myapp.exe

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• https://{BLOCKED}cker.xyz/SGDYSRE67T43TVD6E5RD.exe

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %System Root%\SGDYSRE67T43TVD6E5RD.exe

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

ただし、情報公開日現在、このWebサイトにはアクセスできません。

情報漏えい

マルウェアは、以下の情報を収集します。

• Machine UUID
• Machine IP Address
• Computer Name
• Salt and Key Used for Encryption
• Files in all available drives with the following extensions:
  • .pdf

情報収集

マルウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• https://{BLOCKED}cker.xyz/receive.php → URL where %AppDataLocal%\DataHexaLocker\data_{Random}.zip is being sent
• https://{BLOCKED}cker.xyz/index.php?method=new&hwid={Encoded UUID}&ip={Affected Machine's IP Address}&computername={Affected Machine's Computer Name}&password={Key}&sel={Salt} → URL where the affected system information and the salt and key used for encryption are being sent

  As of this writing, the said sites are inaccessible.

その他

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• .1cd
• .3ds
• .3fr
• .3g2
• .3gp
• .7z
• .7zip
• .accda
• .accdb
• .accdc
• .accde
• .accdr
• .accdt
• .accdw
• .ace
• .adp
• .ai
• .ai3
• .ai4
• .ai5
• .ai6
• .ai7
• .ai8
• .amv
• .apk
• .arj
• .arw
• .ascx
• .asm
• .asmx
• .asp
• .aspx
• .avi
• .avs
• .backup
• .bak
• .bat
• .bay
• .bin
• .bk
• .blob
• .bmp
• .bz2
• .cab
• .cer
• .cfm
• .cmd
• .config
• .contact
• .core
• .cpp
• .crt
• .cs
• .css
• .csv
• .cub
• .cvs
• .dae
• .dat
• .db
• .dbf
• .dbx
• .dc3
• .dcm
• .dcr
• .dib
• .dic
• .dif
• .divx
• .djvu
• .dll
• .dmg
• .doc
• .docm
• .docx
• .dot
• .dotx
• .dwg
• .dwt
• .epsp
• .exe
• .exif
• .exr
• .f4v
• .flp
• .flv
• .geo
• .gif
• .gsm
• .gz
• .gzip
• .htm
• .html
• .ibank
• .ico
• .iff
• .inc
• .indd
• .ini
• .iso
• .jar
• .java
• .jpe
• .jpeg
• .jpg
• .js
• .json
• .jsp
• .key
• .kmz
• .kwm
• .lnk
• .log
• .lzh
• .m1v
• .m4a
• .m4p
• .m4v
• .max
• .mda
• .mdb
• .mde
• .mdf
• .mdw
• .mht
• .mhtml
• .mka
• .mkv
• .mov
• .mp3
• .mp4
• .mpeg
• .mpg
• .mpv
• .msg
• .msi
• .myi
• .nef
• .obj
• .odc
• .odm
• .odp
• .ods
• .odt
• .oft
• .onepkg
• .onetoc2
• .opt
• .oqy
• .orf
• .p12
• .p7b
• .p7c
• .pam
• .pas
• .pdb
• .pdf
• .pfx
• .php
• .pict
• .pl
• .pls
• .png
• .pot
• .potm
• .potx
• .ppam
• .pps
• .ppsm
• .ppt
• .pptm
• .pptx
• .ps
• .psb
• .psd
• .pst
• .py
• .r3d
• .rar
• .raw
• .rb
• .rgbe
• .rss
• .rtf
• .safe
• .settings
• .sie
• .slk
• .sln
• .sql
• .stm
• .sum
• .svg
• .svgz
• .swf
• .swift
• .tab
• .tar
• .tar.gz
• .tbi
• .tif
• .torrent
• .txt
• .vb
• .vbs
• .vdi
• .vmdk
• .vob
• .vss
• .wallet
• .wav
• .webm
• .webp
• .wma
• .wmv
• .wpd
• .wps
• .xla
• .xlam
• .xlk
• .xlm
• .xls
• .xlsb
• .xlsm
• .xlsx
• .xlt
• .xltm
• .xltx
• .xlw
• .xml
• .xps
• .xsd
• .xsf
• .xsl
• .xz
• .zip

マルウェアは、以下を実行します。

• It adds its stolen .pdf files to the following .zip file:
  • %AppDataLocal%\DataHexaLocker\data_{Random}.zip

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

ランサムウェアの不正活動

マルウェアは、以下のディレクトリ内で確認されたファイルを暗号化します。

• %User Profile%

(註：%User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。)

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• AppData

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .HexaLockerV2

マルウェアが作成する以下のファイルは、脅迫状です。

• %Desktop%\ReadMe.txt
  

<補足>
インストール

マルウェアは、以下のファイルを作成します。

• %System Root%\error_log.txt
• %AppDataLocal%\DataHexaLocker\data_{ランダム}.zip → 収集されたPDFファイルを含む

情報漏えい

マルウェアは、以下の情報を収集します。

• コンピュータの汎用一意識別子（UUID）
• コンピュータのIPアドレス
• コンピュータ名
• 暗号化に使用されるソルト（Salt）およびキー
• 利用可能なすべてのドライブ内で確認された以下の拡張子を持つファイル：
  .pdf

情報収集

マルウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• https://{BLOCKED}cker.xyz/receive.php → URL where %AppDataLocal%\DataHexaLocker\data_{Random}.zip is being sent
• https://{BLOCKED}cker.xyz/index.php?method=new&hwid={エンコードされたUUID}&ip={影響を受けるコンピュータのIPアドレス}&computername={影響を受けるコンピュータの名前}&password={キー}&sel={ソルト} → 影響を受けるコンピュータに関する情報および暗号化に使用されるソルトおよびキーの送信先となるURL
  
  ただし、情報公開日現在、このWebサイトにはアクセスできません。

マルウェアは、収集したPDFファイルを以下のZIPファイルに追加します。

• %AppDataLocal%\DataHexaLocker\data_{ランダム}.zip