Ransom.Win64.RUTHENS.THLABBC

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• wmic.exe shadowcopy delete
• bcdedit.exe /set {default} bootstatuspolicy ignoreallfailures
• wbadmin.exe delete systemstatebackup -keepVersions:3
• wbadmin.exe delete systemstatebackup
• bcdedit.exe /set {default} recoveryenabled No
• vssadmin.exe delete shadows /all /quiet
• wbadmin.exe delete catalog-quiet
• notepad.exe {Drive}:\Contact Us.txt

プロセスの終了

マルウェアは、感染コンピュータ上で確認した以下のサービスを終了します。

• mepocs
• memtas
• veeam
• svc$
• backup
• sql
• vss
• msexchange
• vmm
• vmwp

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• encsvc
• thebat
• mydesktopqos
• xfssvccon
• firefox
• infopath
• winword
• steam
• synctime
• notepad
• ocomm
• onenote
• mspub
• thunderbird
• agntsvc
• sql
• excel
• powerpnt
• outlook
• wordpad
• dbeng50
• isqlplussvc
• sqbcoreservice
• oracle
• ocautoupds
• dbsnmp
• msaccess
• tbirdconfig
• ocssd
• mydesktopservice
• visio

その他

マルウェアは、以下を実行します。

• It accepts the following argument:
  • -c {username}:{password} → Required. Specifies the username and password to access the contact page
  • -a, -attach, --attach → Enables logging
  • -A, -no-aggressive, --no-aggressive → Disables the deletion of backups and recovery
  • -E, -no-extension, --no-extension → Disables appending of extension to files
  • -m, -min-size, --min-size → Specifies the minimum file size for encryption (in bytes)
  • {File or Path to encrypt} → Encrypts a specific file or directory
• It encrypts fixed, removable, and network drives.

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• autorun.inf
• bootfont.bin
• boot.ini
• bootsect.bak
• desktop.ini
• iconcache.db
• ntldr
• ntuser.dat
• ntuser.dat.log
• ntuser.ini
• thumbs.db
• Contact Us.txt

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• perflogs
• appdata
• $windows.~bt
• windows.old
• $windows.~ws
• msocache
• mozilla
• tor browser
• $recycle.bin
• windows
• windows nt
• intel
• all users
• internet explorer
• default
• boot
• system volume information
• config.msi
• google

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• {original filename}.{original extension}.locked

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Directory}\Contact Us.txt
• {Drive}:\Contact Us.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• 386
• adv
• ani
• bat
• bin
• cab
• cmd
• com
• cpl
• cur
• deskthemepack
• diagcab
• diagcfg
• diagpkg
• dll
• drv
• exe
• hlp
• hta
• icl
• icns
• ico
• ics
• idx
• key
• ldf
• lnk
• lock
• mod
• mpa
• msc
• msi
• msp
• msstyles
• msu
• nls
• nomedia
• ocx
• pdb
• prf
• ps1
• rom
• rtp
• scr
• shs
• spl
• sys
• theme
• themepack
• wpx