Ransom.Win64.RAWLD.THAAFBE

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、実行後、自身を削除します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Temp%\Ra_Lock.exe
• {Malware Path}\.Ra_Lock → lock file used as a marker before encrypting the system

(註：%Temp%フォルダは、一時的にファイルが保存されるフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Windows\Temp" です。.)

マルウェアは、以下のプロセスを追加します。

• Clears and terminates event logs:
  • powershell -Command "Get-WmiObject -Class win32_service -Filter \"name = 'eventlog'\" | select -exp ProcessId"
  • cmd -Command "/c start taskkill /f /pid {Event Log PID}
  • cmd -Command "/c start wevtutil cl Application"
  • cmd -Command "/c start wevtutil cl system"
  • cmd -Command "/c start wevtutil cl security"
  • cmd -Command "/c start wevtutil cl setup"
• Deletes shadow copies and other system backups:
  • cmd -Command "/c start vssadmin delete shadows /all /quiet"
  • cmd -Command "/c start wmic shadowcopy delete /nointeractive"
  • cmd -Command "/c start wmic SHADOWCOPY /nointeractive"
  • cmd -Command "/c start wbadmin delete catalog -quiet"
  • cmd -Command "/c start wbadmin DELETE SYSTEMSTATEBACKUP"
• Disables recovery mode and safe mode after boot:
  • cmd -Command "/c start bcdedit /set {default} bootstatuspolicy ignoreallfailures"
  • cmd -Command "/c start bcdedit /set {default} recoveryenabled no"
  • cmd -Command "/c start bcdedit /set {default} recoveryenabled No"
  • cmd -Command "/c bcdedit /deletevalue {default} safeboot"
• Deletes traces of itself and reboots the system after 10 seconds:
  • cmd -Command "/c del C:\Windows\Temp\Team_update.exe && cmd /c del C:\Windows\Temp\.Ra_Lock"
  • cmd -Command "/c start shutdown -r -f -t 10"
  • cmd /C timeout /T 3 & del {Malware Path}\{Malware Filename}

マルウェアは、実行後、自身を削除します。

プロセスの終了

マルウェアは、感染コンピュータ上で確認した以下のサービスを終了します。

• AcronisAgent
• AcrSch2Svc
• BackExecRPCService
• backup
• BackupExecAgentAccelerator
• BackupExecAgentBrowser
• BackupExecDiveciMediaService
• BackupExecJobEngine
• BackupExecManagementService
• BackupExecRPCService
• BackupExecVSSProvider
• bedbg
• CAARCUpdateSvc
• CASAD2DWebSvc
• ccEvtMgr
• ccSetMgr
• Culserver
• dbeng8
• DefWatch
• GxBlr
• GxCIMgr
• GxCVD
• GxFWD
• GxVss
• Intuit.QuickBooks.FCS
• memtas
• mepocs
• MpsSvc
• MsDtsServer150
• MSExchange
• msftesql-Exchange
• msmdsrv
• MSSQL
• MSSQLFDLauncher
• MSSQLLaunchpad
• MSSQLSERVER
• MSSQLServerOLAPService
• PDVFSService
• QBCFMonitorService
• QBFCService
• QBIDPService
• RTVscan
• SavRoam
• sophos
• sql
• sqladhlp
• SQLADHLP
• sqlagent
• SQLAgent
• SQLAgent$SHAREPOINT
• SQLBrowser
• SQLPBDMS
• SQLPBENGINE
• SQLSERVERAGENT
• SQLServerDistributedReplayClient
• SQLServerDistributedReplayController
• SQLTELEMETRY
• SQLWriter
• SSASTELEMETRY
• SSISScaleOutMaster150
• SSISScaleOutWorker150
• SSISTELEMETRY150
• stc_raw_agent
• svc$
• tomcat6
• veeam
• VeeamDeploymentService
• VeeamNFSSvc
• VeeamTransportSvc
• vmware-converter
• vmware-usbarbitator64
• VSNAPVSS
• vss
• WSBExchange
• wuauserv
• YooBackup
• YooIT
• zhudongfangyu

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• agntsvc.exe
• Culture.exe
• dbeng50.exe
• dbsnmp.exe
• dbsrv12.exe
• Defwatch.exe
• encsvc.exe
• excel.exe
• firefox.exe
• httpd.exe
• infopath.exe
• isqlplussvc.exe
• msaccess.exe
• mspub.exe
• mydesktopqos.exe
• mydesktopservice.exe
• notepad.exe
• ocautoupds.exe
• ocomm.exe
• ocssd.exe
• onenote.exe
• oracle.exe
• outlook.exe
• powerpnt.exe
• RAgui.exe
• sqbcoreservice.exe
• sql.exe
• sqlbrowser.exe
• sqlmangr.exe
• Sqlservr.exe
• steam.exe
• supervise.exe
• synctime.exe
• tbirdconfig.exe
• thebat.exe
• thunderbird.exe
• tomcat6.exe
• visio.exe
• vxmon.exe
• WinSAT.exe
• winword.exe
• wordpad.exe
• wrapper.exe
• wsa_service.exe
• wxServer.exe
• wxServerView.exe
• xfssvccon.exe

その他

マルウェアは、以下を実行します。

• It encrypts all available drives except for CD-ROMs.
• It logs its status of activity in the console:
  

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• autorun.inf
• boot.ini
• bootfont.bin
• bootmgfw.efi
• bootmgr
• bootmgr.efi
• desktop.ini
• iconcache.db
• ntuser.dat
• NTUSER.DAT
• ntuser.ini
• pagefile.sys
• thumbs.db

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• #recycle
• $Recycle.Bin
• $windows.~bt
• All Users
• AppData
• Boot
• bootmgr
• Google
• inte
• Internet Explorer
• Mozilla
• Mozilla Firefox
• msocache
• ntldr
• ntuser.dat
• NTUSER.DAT
• Opera
• Opera Software
• perflogs
• Program Files
• Program Files (x86)
• ProgramData
• system volume information
• System32
• SYSVOL
• Tor Browser
• Windows

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .Ra_Lock

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Path}\README_Howtorecover.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .exe
• .dll
• .iso
• .Ra_Lock