Ransom.Win64.METAENCRYPTOR.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

プロセスの終了

マルウェアは、感染コンピュータ上で確認した以下のサービスを終了します。

• Firebird
• MSSQL
• SQL
• Exchange
• wsbex
• postgresql
• BACKP
• tomcat
• SBS
• SharePoint

情報漏えい

マルウェアは、以下の情報を収集します。

• Total Memory
• Used Memory
• System Name
• Kernel Version
• OS Version
• System Host Name
• CPU

その他

マルウェアは、以下のパラメータを受け取ります。

• USAGE:
  • {Malware Filename} [FLAGS]
  • {Malware Filename} [OPTIONS]
• FLAGS:
  • -h | --help → Prints help information
  • -V | --version → Prints version information
• OPTIONS:
  • -d | --debug → Debug mode, more verbose output [default: false]
  • --disable-shares → Do not encrypt SMB shares [default: false]
  • -e | --exclude {file path} → Exclude specific file for encryption
  • --fast → Activate FAST mode [default: false]
  • -f | --only-files {file} → Encrypts the specified file
  • -k | --kill-processes → Terminates all non-windows processes. [default: false]
  • --no-sort-files → Sort files by date
  • --only-wait → Only wait, do nothing. for debug purposes. [default: false]
  • -p | --paths → Encrypts specified directory
  • --raise-privs → Execute with admin privilege [default: true]
  • --no-vss → Do not remove Volume Shadow Copies [default: true]
  • --shred-at-end → Delete itself after encryption [default: false]
  • --shred-now → Delete itself immediately [default: false]
  • -t | --threads → Threads count, by default selecting by number of CPU cores [default: 0]
  • --wait-mm → Time delay in minutes [default: 0]

ランサムウェアの不正活動

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .metaencrypted

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Directory}\!metaencrypter.txt