Ransom.Win64.VICESOCIETY.THKAHBB

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

特定のファイル拡張子を持つファイルを暗号化します。 身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• {Encrypted Directory}\ALL YOUR FILES ARE ENCRYPTED!!!
• %System Root%\ALL YOUR FILES ARE ENCRYPTED!!!
• %Public%\{random characters} → configuration file
• %Public%\noise.bmp → set as wallpaper

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %Public%フォルダは、すべてのユーザ共通のファイルまたはフォルダのリポジトリとして機能するフォルダです。Windows Vista、7、8の場合、通常 "C:\Users\Public" です。)

マルウェアは、以下のプロセスを追加します。

• "%System%\cmd.exe" /c vssadmin.exe Delete Shadows /All /Quiet
• reg delete "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Default" /va /f
• reg delete "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Servers" /f
• reg add "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Servers"
• cd %userprofile%\documents\
• attrib Default.rdp -s -h
• del Default.rdp
• for /F "tokens=*" %1 in ('wevtutil.exe el') DO wevtutil.exe cl "%1"
• "%System%\cmd.exe" /c del {Malware File Path}\{Malware File Name} > nul → to delete itself

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

他のシステム変更

マルウェアは、以下のレジストリ値を変更し、デスクトップの壁紙を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
Wallpaper = %Public%\noise.bmp

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
WallpaperStyle = 4

マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。

• %Public%\noise.bmp
  

その他

マルウェアは、以下を実行します。

• It avoids encrypting the following drive types:
  • CR-ROM
  • RAM Disk
• It avoids encrypting files with file size less than or equal to 16 bytes.
• It uses Windows Restart Manager to unlock files it will encrypt.

マルウェアは、以下のパラメータを受け取ります。

• /f {file to encrypt} → encrypts specific files
• /d {directory to encrypt} → encrypts specific directories
• /s → disables self delete option

ランサムウェアの不正活動

以下の拡張子を持つファイルを暗号化します：$$ DATA $$

• unlocked using Windows Restart Manager:
  • .$ER
  • .4D
  • .4DD
  • .ABCDDB
  • .ABS
  • .ABX
  • .ACCDB
  • .ACCDC
  • .ACCDE
  • .ACCDR
  • .ACCDT
  • .ACCDW
  • .ACCFT
  • .ADB
  • .ADE
  • .ADF
  • .ADN
  • .ADP
  • .ALF
  • .ASK
  • .BTR
  • .CAT
  • .CDB
  • .CKP
  • .CMA
  • .CPD
  • .CRYPT12
  • .CRYPT5
  • .CRYPT6
  • .CRYPT7
  • .CRYPT8
  • .CRYPT9
  • .DACONNECTIONS
  • .DACPAC
  • .DAD
  • .DADIAGRAMS
  • .DASCHEMA
  • .DB
  • .DB-
  • .DB-SHM
  • .DB-WA
  • .DB.CRYPT
  • .DB.CRYPT12
  • .DB.CRYPT8
  • .DB2
  • .DB3
  • .DBC
  • .DBF
  • .DBS
  • .DBT
  • .DBV
  • .DBX
  • .DCB
  • .DCT
  • .DCX
  • .DD
  • .DLIS
  • .DP1
  • .DQY
  • .DSK
  • .DSN
  • .DTSX
  • .DX
  • .ECO
  • .ECX
  • .EDB
  • .EPIM
  • .ERX
  • .EXB
  • .FCD
  • .FDB
  • .FIC
  • .FLEXOLIBRARY
  • .FM5
  • .FMP
  • .FMP12
  • .FMPS
  • .FO
  • .FP3
  • .FP4
  • .FP5
  • .FP7
  • .FPT
  • .FRM
  • .GDB
  • .GRDB
  • .GWI
  • .HDB
  • .HIS
  • .IB
  • .IDB
  • .IHX
  • .ITDB
  • .ITW
  • .JET
  • .JTX
  • .KDB
  • .KEXI
  • .KEXIC
  • .KEXIS
  • .LDF
  • .LGC
  • .LWX
  • .MAF
  • .MAQ
  • .MAR
  • .MARSHA
  • .MAS
  • .MAV
  • .MAW
  • .MDB
  • .MDBHTM
  • .MDF
  • .MDN
  • .MDT
  • .MFD
  • .MPD
  • .MRG
  • .MUD
  • .MWB
  • .MYD
  • .NDF
  • .NNT
  • .NRMLIB
  • .NS2
  • .NS3
  • .NS4
  • .NSF
  • .NV
  • .NV2
  • .NWDB
  • .NYF
  • .ODB
  • .OQY
  • .ORA
  • .ORX
  • .OWC
  • .P96
  • .P97
  • .PAN
  • .PDB
  • .PDM
  • .PNZ
  • .QRY
  • .QVD
  • .RBF
  • .RCTD
  • .ROD
  • .RODX
  • .RPD
  • .RSD
  • .SAS7BDAT
  • .SBF
  • .SCX
  • .SDB
  • .SDC
  • .SDF
  • .SIS
  • .SPQ
  • .SQ
  • .SQLITE
  • .SQLITE3
  • .SQLITEDB
  • .TE
  • .TEACHER
  • .TEMX
  • .TMD
  • .TPS
  • .TRC
  • .TRM
  • .UD
  • .UDB
  • .USR
  • .V12
  • .VIS
  • .VPD
  • .VVV
  • .WDB
  • .WMDB
  • .WRK
  • .XDB
  • .XLD
  • .XMLFF
  • .^^^

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• $RECYCLE.BIN
• AVG
• Avast
• Avira
• COMODO
• Chrome
• Common Files
• Common7
• Dr.Web
• ESET
• Firefox
• Install Shield Installation Information
• Intel
• Internet Explorer
• KasperskyLab
• McAfee
• Microsoft
• Microsoft Help
• Microsoft SDKs
• Microsoft Shared
• Microsoft VS Code
• Microsoft Visual Studio
• Microsoft.NET
• MovieMaker
• Mozilla
• Mozilla Firefox
• NVIDIA Corporation
• Opera
• Package Cache
• Packages
• Reference assemblies
• Spytechsoftware
• Symantec
• Symantec Client Security
• System Volume Information
• Temp
• Windows
• Windows App Certification Kit
• Windows Defender
• Windows Kits
• Windows Mail
• Windows Media Player
• Windows Multimedia Platform
• Windows NT
• Windows Phone Kits
• Windows Phone Silverlight Kits
• Windows Photo Viewer
• Windows Portable Devices
• Windows Security
• Windows Sidebar
• WindowsApps
• WindowsPower
• Shell
• Wsus
• Yandex Browser
• sysconfig
• .vscode

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .v-society

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Directory}\ALL YOUR FILES ARE ENCRYPTED!!!
  
• %System Root%\ALL YOUR FILES ARE ENCRYPTED!!!

以下のファイル拡張子を持つファイルについては暗号化しません：

• .386
• .adv
• .ani
• .bat
• .bin
• .cab
• .cmd
• .com
• .cp
• .cur
• .deskthemepack
• .diagcab
• .diagcfg
• .diagpkg
• .dl
• .drv
• .exe
• .hlp
• .hta
• .ic
• .icns
• .ico
• .ics
• .idx
• .lnk
• .lock
• .mod
• .mpa
• .msc
• .msi
• .msp
• .msstyles
• .msu
• .nls
• .nomedia
• .ocx
• .prf
• .ps1
• .rom
• .rtp
• .scr
• .shs
• .sp
• .sys
• .theme
• .themepack
• .wpx