Ransom.Win64.LOSTTRUST.THJCABC

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

情報漏えい

マルウェアは、以下の情報を収集します。

• Username
• Computer name
• System total memory
• System total used memory
• System kernel version
• Processor information
• Operating system version
• All drives available space

その他

マルウェアは、以下のパラメータを受け取ります。

• -d, --debug - Activate debug mode
• --fast - Activate fast mode
• -h, --help - Prints help information
• -v, --version - Prints version infromation
• -e, --exclude {File path} - Exclude file for encryption
• -p, -paths {Directory} - Encrypts the specified directory
• --raise-priv {true/false} - Execute with admin privilege (Default: true)
• --no-vss {true/false}} - Delete shadow copies (Default: true)
• -t, --threads {Thread count} - Sets the number of thread used for encryption (Default: 0)
• -f, --only-files {File} - Encrypts the specified file
• -k, -kill-processes

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• !losttrustencoded.txt
• autorun.inf
• boot.ini
• bootfont.bin
• bootsect.bak
• desktop.ini
• iconcache.db
• ntldr,ntuser.dat
• ntuser.dat.log
• ntuser.ini
• thumbs.db
• bootmgr
• ! cynet ransom protection(don't delete)

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• $recycle.bin
• windows\system32
• \windows\syswow64\
• \windows\system\
• \windows\winsxs\
• \system\msadc\
• \common files\
• \windowspowershell\
• \program files\internet explorer\
• \program files\microsoft games\
• \all users\microsoft\
• \inetpub\logs\
• :\boot\
• :\system volume information\
• :\drivers\
• :\ws us\
• \cache\
• \cache2\
• \far manager\
• \ida 7.0\
• \ida 6.8\
• \default\extensions\
• \temporary internet files\
• \temp\
• $windows.~bt
• $windows.~ws
• \google\
• \mozilla\
• \tor browser\
• \windows.old\
• \intel\
• \msocache\
• \perflogs\
• \programdata\microsoft\
• \application data\microsoft\
• \all users\microsoft\
• \roaming\microsoft\
• \local\microsoft\
• \local settings\microsoft\
• \locallow\microsoft\
• \common\microsoft\
• sophos
• symantec
• leaked
• mozilla firefox
• system volume in formation

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .losttrustencoded2

マルウェアが作成する以下のファイルは、脅迫状です。

• {All Directories}\!losttrustencoded.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• exe
• dll
• ocx
• ani
• cab
• cpl
• cur
• diagcab
• diagpkg
• drv
• hlp
• icl
• icns
• ico
• ics
• lnk
• idx
• mod
• mpa
• msc
• msp
• msstyles
• msu
• nomedia
• prf
• rom
• rtp
• scr
• shs
• spl
• sys
• theme
• themepack
• deskthemepack
• bat
• cmd
• url
• mui
• inf
• pf
• ntldr
• nls
• hta
• ax
• msi
• mst
• iso