Ransom.Win64.RECRANS.THEOHBC

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Public%\2134A99F204DAB9E5574EE51B87C57DCF7483B6F
• %Public%\noise.bmp

(註：%Public%フォルダは、すべてのユーザ共通のファイルまたはフォルダのリポジトリとして機能するフォルダです。Windows Vista、7、8の場合、通常 "C:\Users\Public" です。)

マルウェアは、以下のプロセスを追加します。

• reg delete "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Default" /va /f
• reg delete "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Servers" /f
• reg add "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Servers"
• cd %userprofile%\documents\
• attrib Default.rdp -s -h
• del Default.rdp
• for /F "tokens=*" %1 in ('wevtutil.exe el') DO wevtutil.exe cl "%1"
• /c del {Malware File Path} > nul

他のシステム変更

マルウェアは、以下のレジストリ値を変更し、デスクトップの壁紙を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
Wallpaper = %Public%\noise.bmp

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
WallpaperStyle = 4

(註：変更前の上記レジストリ値は、「0」となります。)

マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。

• %Public%\noise.bmp
  

その他

マルウェアは、以下を実行します。

• It encrypts files found in the following drives:
  • Unkown Drive
  • No Root Directory Drive
  • Removable Drive
  • Fixed Drive
  • Remote Drive
• It shows its logs within the command prompt.
  
• It deletes itself after execution.

マルウェアは、以下のパラメータを受け取ります。

• /f → Used for encrypting only the designated file
• /d → Used for encrypting only the designated directory
• /s → displays only the argument used

ランサムウェアの不正活動

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• $RECYCLE.BIN
• .vscode
• AVG
• Avast
• Avira
• COMODO
• Chrome
• Common Files
• Common7 Dell
• Dr.Web
• ESET
• Firefox
• Install Shield Installation Information
• Intel
• Internet Explorer
• Kaspersky Lab
• McAfee
• Microsoft
• Microsoft Help
• Microsoft SDKs
• Microsoft Shared
• Microsoft VS Code
• Microsoft Visual
• Studio Microsoft.NET
• MovieMaker
• Mozilla Mozilla Firefox
• NVIDIA Corporation
• Opera
• Package Cache
• Packages
• Reference assemblies
• Spytechsoftware Symantec
• Symantec Client Security
• System Volume Information
• Temp
• Windows
• Windows App Certification Kit
• Windows Defender
• Windows Kits
• Windows Mail
• Windows Media Player
• Windows Multimedia Platform
• Windows NT
• Windows Phone Kits
• Windows Phone Silverlight Kits
• Windows Photo Viewer
• Windows Portable Devices
• Windows Security
• Windows Sidebar
• WindowsApps
• WindowsPowerShell
• Wsus
• Yandex Browser
• sysconfig

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .rec_rans

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Directory}/HOW_TO_RECOVERY_FILES.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .386
• .adv
• .ani
• .bat
• .bin
• .cab
• .cmd
• .com
• .cur
• .deskthemepack
• .diagcab
• .diagcfg
• .diagpkg
• .drv
• .exe
• .hlp
• .hta
• .icns
• .ico
• .ics
• .idx
• .lnk
• .lock
• .mod
• .mpa
• .msc
• .msi
• .msp
• .msstyles
• .msu
• .nls
• .nomedia
• .ocx
• .prf
• .ps1
• .rom
• .rtp
• .scr
• .shs
• .sys
• .theme
• .themepack
• .wpx

<補足>

マルウェアは、以下を実行します。

• 以下のドライブ内で見つかったファイルを暗号化します。
  • 不明なドライブ
  • ルートディレクトリのないドライブ
  • リムーバブルドライブ
  • 固定ドライブ
  • リモートドライブ
• コマンドプロンプト内にログを表示します。
  
• 実行後、自身を削除します。

マルウェアは、以下のパラメータを受け取ります。

• /f → 指定したファイルのみを暗号化する場合に使用される
• /d → 指定したディレクトリのみを暗号化する場合に使用される
• /s → 使用された引数のみを表示する