Ransom.Win64.SNATCH.AA

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• sc query type=services
• vssadmin delete shadows /all /quiet
• cmd /c ping 127.0.0.1 & del /f {malware file name}

マルウェアは、身代金を要求する手紙として、テキストファイルを作成します。このテキストファイルは以下の内容を含んでいます。

プロセスの終了

マルウェアは、感染コンピュータ上でプロセスが常駐されていることを確認した場合、以下のいずれかの文字列を含むプロセスまたはサービスを終了します。

• SQL
• BACKUP
• TEAM
• EXCHANGE

情報漏えい

マルウェアは、以下の情報を収集します。

• Process ID of the ransomware process
• HostName
• UserName

情報収集

マルウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://{BLOCKED}ataresback.com/news

ランサムウェアの不正活動

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• Directories located in %System Root%:
  • Windows
  • Perflogs
  • Recovery
  • $Recycle.bin
  • $RECYCLE.BIN
  • System Volume Information
• Directories located in %Program Files%:
• Windows
• Perflogs
• Recovery
• $Recycle.bin
• $RECYCLE.BIN
• System Volume Information
• CommonFiles
• DVD Maker
• Internet Explorer
• MSBuild
• Microsoft Games
• Mozilla Firefox
• Reference Assemblies
• TAP-Windows
• Windows Defender
• Windows Journal
• Windows Mail
• Windows Media Player
• Windows NT
• Windows Photo Viewer
• Windows Portable Devices
• Windows Sidebar
• Microsoft.Net
• Mozilla Maintenance Services
• Uninstall Information
• Directories located in %ProgramData%:
• Microsoft
• StartMenu
• Templates
• Favorites

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• cbs0z

マルウェアが作成する以下のファイルは、脅迫状です。

• {Affected Directory}\RESTORE_CBS0Z_DATA.txt