Ransom.Win64.LDRADO.THCBOBD

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• vssadmin Delete Shadows /all /quiet
• cmd "/c chcp 65001 & systeminfo"

情報漏えい

マルウェアは、以下のパラメータを受け取ります。

• -skip-local → Skip processing local files.
• -skip-net → Skip processing shares
• -keep → Disable self-deletion after execution (Self-deletion is enabled by default).
• -n → Specify network in CIDR format. If not specified, values from active network interfaces will be used. A file with a list of networks can also be specified.
• -d → Specifies a domain.
• -u → Specifies username for SMB.
• -p → Specifies password for SMB.

その他

マルウェアは、以下を実行します。

• It gathers the following data via systeminfo:
  • Operating System Information:
  • Name
  • Version
  • Manufacturer
  • Configuration
  • Build Type
  • Registered Owner
  • Registered Organization
  • Product ID
  • Installation date
  • Host name
  • System Boot Time
  • System Manufacturer
  • System Architecture
  • Processor information
  • System Language
  • Time Zone Information
  • BIOS Version
  • Total and Available Physical Memory
  • Virtual Memory Information (Max, Available, In Use)
  • Page file locations
  • Domain
  • Logon server
  • Hotfix(es)
  • Network card(s)
• It displays its logs on a console:
  
• It sends some of its logs to the following IP Address:
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.152:443

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• ntldr
• ntdetect.com
• autoexec.bat
• ntuser.dat
• ntuser.dat.log
• iconcache.db
• bootsect.bak
• bootfont.bin
• bootmgr
• thumbs.db

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• Windows
• programdata
• program files
• program files (x86)
• $recycle.bin
• all users
• winnt
• appdata
• application data
• local settings
• boot

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .00000001

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Directory}\HOW_RETURN_YOUR_DATA.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .00000001
• .exe
• .dll
• .sys
• .msi
• .ini
• .inf
• .lnk