Ransom.Win64.LIVETEAM.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• {Malware File Path}\{Victim ID}.jpg → Deleted afterwards
• {Malware File Path}\wallpaper.ps1 → Deleted afterwards

マルウェアは、以下のプロセスを追加します。

• %System%\cmd.exe /c powershell -ExecutionPolicy Bypass -File "{Malware File Path}\wallpaper.ps1"
• cmd /c "bcdedit /set {current} recoveryenabled no"
• cmd /c "bcdedit /set {default} recoveryenabled no"
• cmd /c "bcdedit /set {current} bootstatuspolicy ignoreallfailures"
• cmd /c "bcdedit /set {default} bootstatuspolicy ignoreallfailures"
• cmd /c \"vssadmin Delete Shadows /All /Quiet\""
• cmd /c "taskkill /F /IM {Target Process}*
• cmd /c net stop "{Target Service}" /y
• cmd /c "wevtutil cl application"
• cmd /c "wevtutil cl security"
• cmd /c "wevtutil cl system"

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

他のシステム変更

マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。

• {Malware File Path}\{Victim ID}.jpg
  

プロセスの終了

マルウェアは、感染コンピュータ上で確認した以下のサービスを終了します。

• via net stop /y:
  • MSSQLFDLauncher
  • MSSQLSERVER
  • SQLSERVERAGENT
  • SQLBrowser
  • SQLTELEMETRY
  • SQLWriter
  • MSSQL
  • SQLAgent
  • MSSQLServerOLAPService

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• via taskkill /F /IM:
  • postgresql
  • sqlbrowser
  • sqlwriter
  • sqlservr
  • sqlceip
  • SQLAGENT
  • sqlservr
  • pg_ctl
  • postgres

その他

マルウェアは、以下のパラメータを受け取ります。

• -s, --self {Malware file path} - Used to execute the malware if it failes to determine the self-path and load settings.
• -h, --help - Displays help information.
• -c, --directory {Directory} - Encryp all files in the specified directory.
• -dr, --deleteRestorePoints {True/False} - Deletion of system restore points.
• -ss, --stopServices {True/False} - Stops the embedded list of services.
• -sp, --stopProcesses {True/False} - Terminate the embedded list of processes.
• -dn, --dropNote {True/False} - Drops ransom note to a specific directory.
• -cw, --changeWallpaper {False} - Disable modification of desktop wallpaper.

ランサムウェアの不正活動

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .LIVE

マルウェアが作成する以下のファイルは、脅迫状です。

• %Public%\Documents\FILE RECOVERY_ID_{Victim ID}.txt
• %Public%\Desktop\FILE RECOVERY_ID_{Victim ID}.txt
• {Malware File Path}\FILE RECOVERY_ID_{Victim ID}.txt
• {Encrypted Directory}\FILE RECOVERY_ID_{Victim ID}.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• exe
• dll
• ink
• ini
• lnk
• ico
• sys
• mui
• live
• desktop