Ransom.Win64.LILITH.YADHUT

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

プロセスの終了

マルウェアは、感染コンピュータ上で確認した以下のサービスを終了します。

• SophosUI.exe
• SEDService.exe
• SophosHealth.exe
• SophosFS.exe
• SSPService.exe
• SophosFileScanner.exe
• McsAgent.exe
• McsClient.exe
• SophosLiveQueryService.exe
• SophosNetFilter.exe
• SophosNtpService.exe
• hmpalert.exe
• Sophos.Encryption.BitLockerService.exe
• SophosOsquery.exe
• ccSvcHst.exe
• SymCorpUI.exe
• SISIPSService.exe
• SISIDSService.exe
• SmcGui.exe
• sisipsutil.exe
• sepWscSvc64.exe
• MsMpEng.exe
• CSFalconService.exe
• cydump.exe
• cyreport.exe
• cyrestart.exe
• cyrprtui.exe
• cyserver.exe
• cytool.exe
• cytray.exe
• cyuserserver.exe
• CyveraConsole.exe
• tlaworker.exe

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• sql.exe
• oracle.exe
• ocssd.exe
• dbsnmp.exe
• synctime.exe
• agntsvc.exe
• isqlplussvc.exe
• xfssvccon.exe
• mydesktopservice.exe
• ocautoupds.exe
• encsvc.exe
• firefox.exe
• tbirdconfig.exe
• mydesktopqos.exe
• ocomm.exe
• dbeng50.exe
• sqbcoreservice.exe
• excel.exe
• infopath.exe
• msaccess.exe
• mspub.exe
• onenote.exe
• outlook.exe
• powerpnt.exe
• steam.exe
• thebat.exe
• thunderbird.exe
• visio.exe
• winword.exe
• wordpad.exe
• notepad.exe

その他

マルウェアは、以下を実行します。

• It encrypts files in all available drives and shared folders
• It displays the following text on the console after execution
  

ランサムウェアの不正活動

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• Windows
• Windows.old
• Tor Browser
• Internet Explorer
• Google
• Opera
• Opera Software
• Mozilla
• Mozilla Firefox
• $Recycle.Bin
• ProgramData
• All Users
• autorun.inf
• boot.ini
• bootfont.bin
• bootsect.bak
• bootmgr
• bootmgr.efi
• bootmgfw.efi
• desktop.ini
• iconcache.db
• ntldr
• ntuser.dat
• ntuser.dat.log
• ntuser.ini
• thumbs.db
• ecdh_pub_k.bin
• Program Files
• Program Files (x86)

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .locked

マルウェアは、以下の内容を含む脅迫状のテキストファイルを残します。

• {Encrypted Directory}\Restore_Your_Files.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .exe
• .dll
• .sys