Ransom.Win64.HORUSKRYPT.THIAGBD

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

特定のフォルダ内のファイルを暗号化します。 身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Startup%\{32 random alphanumeric}.exe

(註：%User Startup%フォルダは、現在ログオンしているユーザのスタートアップフォルダです。Windows 98およびMEの場合、通常 "C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows NTの場合、通常 "C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows 2003(32-bit)、XP、2000(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows Vista、7、8、 8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。)

マルウェアは、以下のファイルを作成します。

• %ProgramData%\{32 random alphanumeric}.ico → icon of encrypted files
• %ProgramData%\{32 random alphanumeric}.bmp → desktop wallpaper after encryption

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

マルウェアは、以下のプロセスを追加します。

• vssadmin Delete Shadows /All /Quiet
• bcdedit /set {default} recoveryenabled No
• bcdedit /set {default} bootstatuspolicy ignoreallfailures
• wmic SHADOWCOPY /nointeractive

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• 51A301AD-3CCF-413A-AD80-A507DDCFF34C

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CLASSES_ROOT\.h0rus13\DefaultIcon
{default} = %ProgramData%\{32 random alphanumeric}.ic

HKEY_CURRENT_USER\Software\Krypt
public = {hex values}

HKEY_CURRENT_USER\Software\Krypt
full = {hex values}

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINESoftware\Policies\Microsoft\
Windows Defender
DisableAntiSpyware = 1

HKEY_LOCAL_MACHINESoftware\Policies\Microsoft\
Windows Defender
DisableRealtimeMonitoring = 1

HKEY_LOCAL_MACHINE\Software\Policies\
Microsoft\Windows NT\SystemRestore
DisableSR = 1

HKEY_LOCAL_MACHINE\Software\Policies\
Microsoft\Windows NT\SystemRestore
DisableConfig = 1

HKEY_LOCAL_MACHINE\Software\Policies\
Microsoft\Windows\WinRE
DisableSetup = 1

HKEY_LOCAL_MACHINE\Software\Policies\
Microsoft\Windows\Backup\
Client
DisableRestoreUI = 1

HKEY_LOCAL_MACHINE\Software\Policies\
Microsoft\Windows\Backup\
Client
DisableBackupLauncher = 1

HKEY_LOCAL_MACHINE\Software\Policies\
Microsoft\Windows\Backup\
Client
DisableSystemBackupUI = 1

HKEY_LOCAL_MACHINE\Software\Policies\
Microsoft\Windows\Backup\
Client
DisableBackupUI = 1

マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。

プロセスの終了

マルウェアは、感染コンピュータ上で確認した以下のサービスを終了します。

• wrapper
• DefWatch
• ccEvtMgr
• ccSetMgr
• SavRoam
• Sqlservr
• sqlagent
• sqladhlp
• Culserver
• RTVscan
• sqlbrowser
• SQLADHLP
• QBIDPService
• Intuit.QuickBooks.FCS
• QBCFMonitorService
• msmdsrv
• tomcat6
• zhudongfangyu
• vmware-usbarbitator64
• vmware-converter
• dbsrv12
• dbeng8
• MSSQL$MICROSOFT##WID
• MSSQL$VEEAMSQL2012
• SQLAgent$VEEAMSQL2012
• SQLBrowser
• SQLWriter
• FishbowlMySQL
• MSSQL$MICROSOFT##WID
• MySQL57
• MSSQL$KAV_CS_ADMIN_KIT
• MSSQLServerADHelper100
• SQLAgent$KAV_CS_ADMIN_KIT
• msftesql-Exchange
• MSSQL$MICROSOFT##SSEE
• MSSQL$SBSMONITORING

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• wxserver
• wxserverview
• sqlmangr
• ragui
• supervise
• culture
• defwatch
• winword
• qbw32
• qbdbmgr
• qbupdate
• axlbridge
• httpd
• fdlauncher
• msdtsrvr
• java
• 360se
• 360doctor
• wdswfsafe
• fdhost
• gdscan
• zhudongfangyu
• qbdbmgrn
• mysqld
• autodeskdesktopapp
• acwebbrowser
• creative cloud
• adobe desktop service
• coresync
• adobe cef
• helper
• node
• adobeipcbroker
• sync-taskbar
• sync-worker
• inputpersonalization
• adobecollabsync
• brctrlcntr
• brccuxsys
• simplyconnectionmanager
• simply.systemtrayicon
• fbguard
• fbserver
• onenotem
• wsa_service
• koaly-exp-engine-service
• teamviewer_service
• teamviewer
• tv_w32
• tv_x64
• titanv
• ssms
• notepad
• rdrcef
• sam
• oracle
• ocssd
• dbsnmp
• synctime
• agntsvc
• isqlplussvc
• xfssvccon
• mydesktopservice
• ocautoupds
• encsvc
• tbirdconfig
• mydesktopqos
• ocomm
• dbeng50
• sqbcoreservice
• exce
• infopath
• msaccess
• mspub
• onenote
• outlook
• powerpnt
• steam
• thebat
• thunderbird
• visio
• wordpad
• bedbh
• vxmon
• benetns
• bengien
• pvlsvr
• beserver
• raw_agent_svc
• vsnapvss
• cagservice
• dellsystemdetect
• enterpriseclient
• processhacker
• procexp64
• procexp
• glasswire
• gwctlsrv
• wireshark
• dumpcap
• j0gnjko1
• autoruns
• autoruns64a
• autorunsc
• autorunsc64a
• sysmon
• sysmon64
• procexp64a
• procmon
• procmon64
• procmon64a
• adexplorer
• adexplorer64
• adexplorer64a
• tcpview
• tcpview64
• tcpview64a
• avz
• tdsskiller
• raccineelevatedcfg
• raccinesettings
• raccine_x86
• raccine
• sqlservr
• rtvscan
• sqlbrowser
• tomcat6
• qbidpservice
• notepad++
• systemexplorer
• systemexplorerservice
• systemexplorerservice64
• totalcmd
• totalcmd64
• veeamdeploymentsvc
• notepad

情報漏えい

マルウェアは、以下の情報を収集します。

• Volume Information

その他

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Krypt

HKEY_CLASSES_ROOT\.h0rus13

HKEY_CLASSES_ROOT\.h0rus13\DefaultIcon

HKEY_CURRET_USER\.h0rus13

HKEY_CURRET_USER\.h0rus13\DefaultIcon

マルウェアは、以下を実行します。

• It encrypts local, removable, and network drives.
• It empties the recycle bin.
• It terminates itself if the keyboard layout of the infected machine is the following:
  • Persian/Iran
• It terminates itself if the GUID was found in the system:
  • 51A301AD-3CCF-413A-AD80-A507DDCFF34C
• It changes the encrypted file icon to the following image:
  

ランサムウェアの不正活動

マルウェアは、以下のディレクトリ内で確認されたファイルを暗号化します。

• ProgramData
• Program Files (x86)

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• #HowToRecover.txt
• BOOTSECT.BAK
• pagefile.sys
• bootmgr

マルウェアは、以下の名称を利用して暗号化されたファイルのファイル名を改称します。

• {10 random alphanumeric}.h0rus13

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .h0rus13

マルウェアが作成する以下のファイルは、脅迫状です。

• {encrypted directory}\#HowToRecover.txt
• %Desktop%\#HowToRecover.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• exe
• bmp
• dll
• msi
• ico