RANSOM_MAGNIBER.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、以下の方法でコンピュータに侵入します。

• Magnitude Exploit Kit

インストール

マルウェアは、以下のプロセスを追加します。

• ping localhost -n 3 ← if infected machine default language is non-Korean

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• ihsdj

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://xwcpie88rkw09bvd3s0.{BLOCKED}e.date/

ランサムウェアの不正活動

マルウェアは、以下の文字列を含むファイルを暗号化します。

• cdc
• cdg
• cimg
• cin
• cit
• colz
• cpc
• cpd
• cpg
• cps
• cpx
• cr2
• ct
• dc2
• dcr
• dds
• dgt
• dib
• djv
• dm3
• dmi
• vue
• dpx
• wire
• drz
• dt2
• dtw
• dv
• ecw
• eip
• exr
• fa
• fax
• fpos
• fpx
• g3
• gcdp
• gfb
• gfie
• ggr
• gih
• gim
• spr
• scad
• gpd
• gro
• grob
• hdp
• hdr
• hpi
• i3d
• icn
• icon
• icpr
• iiq
• info
• ipx
• itc2
• iwi
• j2c
• j2k
• jas
• jb2
• jbig
• jbmp
• jbr
• jfif
• jia
• jng
• jp2
• jpg2
• jps
• jpx
• jtf
• jw
• jxr
• kdc
• kdi
• kdk
• kic
• kpg
• lbm
• ljp
• mac
• mbm
• mef
• mnr
• mos
• mpf
• mpo
• mrxs
• my
• ncr
• nct
• nlm
• nrw
• oc3
• oc4
• oc5
• oci
• omf
• oplc
• af2
• af3
• asy
• cdmm
• cdmt
• cdmz
• cdt
• cmx
• cnv
• csy
• cv5
• cvg
• cvi
• cvs
• cvx
• cwt
• cxf
• dcs
• ded
• dhs
• dpp
• drw
• dxb
• dxf
• egc
• emf
• ep
• eps
• epsf
• fh10
• fh11
• fh3
• fh4
• fh5
• fh6
• fh7
• fh8
• fif
• fig
• fmv
• ft10
• ft11
• ft7
• ft8
• ft9
• ftn
• fxg
• gem
• glox
• hpg
• hpg
• hp
• idea
• igt
• igx
• imd
• ink
• lmk
• mgcb
• mgmf
• mgmt
• mt9
• mgmx
• mgtx
• mmat
• mat
• ovp
• ovr
• pcs
• pfv
• plt
• vrm
• pobj
• psid
• rd
• scv
• sk1
• sk2
• ssk
• stn
• svf
• svgz
• tlc
• tne
• ufr
• vbr
• vec
• vm
• vsdm
• vstm
• stm
• vstx
• wpg
• vsm
• xar
• ya
• orf
• ota
• oti
• ozb
• ozj
• ozt
• pa
• pano
• pap
• pbm
• pc1
• pc2
• pc3
• pcd
• pdd
• pe4
• pef
• pfi
• pgf
• pgm
• pi1
• pi2
• pi3
• pic
• pict
• pix
• pjpg
• pm
• pmg
• pni
• pnm
• pntg
• pop
• pp4
• pp5
• ppm
• prw
• psdx
• pse
• psp
• ptg
• ptx
• pvr
• px
• pxr
• pz3
• pza
• pzp
• pzs
• z3d
• qmg
• ras
• rcu
• rgb
• rgf
• ric
• riff
• rix
• rle
• rli
• rpf
• rri
• doc
• docx
• xls
• xlsx
• ppt
• pptx
• pst
• ost
• msg
• em
• vsd
• vsdx
• csv
• rtf
• 123
• wks
• wk1
• pdf
• dwg
• onetoc2
• snt
• docb
• docm
• dot
• dotm
• dotx
• xlsm
• xlsb
• xlw
• xlt
• xlm
• xlc
• xltx
• xltm
• pptm
• pot
• pps
• ppsm
• ppsx
• ppam
• potx
• potm
• edb
• hwp
• 602
• sxi
• sti
• sldx
• sldm
• vdi
• vmx
• gpg
• aes
• raw
• cgm
• nef
• psd
• ai
• svg
• djvu
• sh
• class
• jar
• java
• rb
• asp
• php
• jsp
• brd
• sch
• dch
• dip
• vb
• vbs
• ps1
• js
• asm
• pas
• cpp
• cs
• suo
• sln
• ldf
• mdf
• ibd
• myi
• myd
• frm
• odb
• dbf
• db
• mdb
• accdb
• sq
• sqlitedb
• sqlite3
• asc
• lay6
• lay
• mm
• sxm
• otg
• odg
• uop
• std
• sxd
• otp
• odp
• wb2
• slk
• dif
• stc
• sxc
• ots
• ods
• 3dm
• max
• 3ds
• uot
• stw
• sxw
• ott
• odt
• pem
• p12
• csr
• crt
• key
• pfx
• der
• 1cd
• cd
• arw
• jpe
• eq
• adp
• odm
• dbc
• frx
• db2
• dbs
• pds
• pdt
• dt
• cf
• cfu
• mx
• epf
• kdbx
• erf
• vrp
• grs
• geo
• st
• pff
• mft
• efd
• rib
• ma
• lwo
• lws
• m3d
• mb
• obj
• x3d
• c4d
• fbx
• dgn
• 4db
• 4d
• 4mp
• abs
• adn
• a3d
• aft
• ahd
• alf
• ask
• awdb
• azz
• bdb
• bib
• bnd
• bok
• btr
• cdb
• ckp
• clkw
• cma
• crd
• dad
• daf
• db3
• dbk
• dbt
• dbv
• dbx
• dcb
• dct
• dcx
• dd
• df1
• dmo
• dnc
• dp1
• dqy
• dsk
• dsn
• dta
• dtsx
• dx
• eco
• ecx
• emd
• fcd
• fic
• fid
• fi
• fm5
• fo
• fp3
• fp4
• fp5
• fp7
• fpt
• fzb
• fzv
• gdb
• gwi
• hdb
• his
• ib
• idc
• ihx
• itdb
• itw
• jtx
• kdb
• lgc
• maq
• mdn
• mdt
• mrg
• mud
• mwb
• s3m
• ndf
• ns2
• ns3
• ns4
• nsf
• nv2
• nyf
• oce
• oqy
• ora
• orx
• owc
• owg
• oyx
• p96
• p97
• pan
• pdb
• pdm
• phm
• pnz
• pth
• pwa
• qpx
• qry
• qvd
• rctd
• rdb
• rpd
• rsd
• sbf
• sdb
• sdf
• spq
• sqb
• stp
• str
• tcx
• tdt
• te
• tmd
• trm
• udb
• usr
• v12
• vdb
• vpd
• wdb
• wmdb
• xdb
• xld
• xlgc
• zdb
• zdc
• cdr
• cdr3
• abw
• act
• aim
• ans
• apt
• ase
• aty
• awp
• awt
• aww
• bad
• bbs
• bdp
• bdr
• bean
• bna
• boc
• btd
• cnm
• crw
• cyi
• dca
• dgs
• diz
• dne
• docz
• dsv
• dvi
• dx
• eio
• eit
• emlx
• epp
• err
• etf
• etx
• euc
• faq
• fb2
• fb
• fcf
• fdf
• fdr
• fds
• fdt
• fdx
• fdxt
• fes
• fft
• flr
• fodt
• gtp
• frt
• fwdn
• fxc
• gdoc
• gio
• gpn
• gsd
• gthr
• gv
• hbk
• hht
• hs
• htc
• hz
• idx
• ii
• ipf
• jis
• joe
• jp1
• jrtf
• kes
• klg
• knt
• kon
• kwd
• lbt
• lis
• lit
• lnt
• lp2
• lrc
• lst
• ltr
• ltx
• lue
• luf
• lwp
• lyt
• lyx
• man
• map
• mbox
• me
• mel
• min
• mnt
• mwp
• nfo
• njx
• now
• nzb
• ocr
• odo
• of
• oft
• ort
• p7s
• pfs
• pjt
• prt
• psw
• pu
• pvj
• pvm
• pwi
• pwr
• qd
• rad
• rft
• ris
• rng
• rpt
• rst
• rt
• rtd
• rtx
• run
• rzk
• rzn
• saf
• sam
• scc
• scm
• sct
• scw
• sdm
• sdoc
• sdw
• sgm
• sig
• sla
• sls
• smf
• sms
• ssa
• sty
• sub
• sxg
• tab
• tdf
• tex
• text
• thp
• tlb
• tm
• tmv
• tmx
• tpc
• tvj
• u3d
• u3i
• unx
• uof
• upd
• utf8
• utxt
• vct
• vnt
• vw
• wbk
• wcf
• wgz
• wn
• wp
• wp4
• wp5
• wp6
• wp7
• wpa
• wpd
• wp
• wps
• wpt
• wpw
• wri
• wsc
• wsd
• wsh
• wtx
• xd
• xlf
• xps
• xwp
• xy3
• xyp
• xyw
• ybk
• ym
• zabw
• zw
• abm
• afx
• agif
• agp
• aic
• albm
• apd
• apm
• apng
• aps
• apx
• art
• asw
• bay
• bm2
• bmx
• brk
• brn
• brt
• bss
• bti
• c4
• ca
• cals
• can
• cd5
• rs
• rsb
• rsr
• rw2
• rw
• s2mv
• sci
• sep
• sfc
• sfw
• skm
• sld
• sob
• spa
• spe
• sph
• spj
• spp
• sr2
• srw
• wallet
• jpeg
• jpg
• vmdk
• arc
• paq
• bz2
• tbk
• bak
• tar
• tgz
• gz
• 7z
• rar
• zip
• backup
• iso
• vcd
• bmp
• png
• gif
• tif
• tiff
• m4u
• m3u
• mid
• wma
• flv
• 3g2
• mkv
• 3gp
• mp4
• mov
• avi
• asf
• mpeg
• vob
• mpg
• wmv
• fla
• swf
• wav
• mp3

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• :\documents and settings\all users\
• :\documents and settings\default user\
• :\documents and settings\localservice\
• :\documents and settings\networkservice\
• \appdata\local\
• \appdata\locallow\
• \appdata\roaming\
• \local settings\
• \public\music\sample music\
• \public\pictures\sample pictures\
• \public\videos\sample videos\
• \tor browser\
• \$recycle.bin
• \$windows.~bt
• \$windows.~ws
• \boot
• \intel
• \msocache
• \perflogs
• \program files (x86)
• \program files
• \programdata
• \recovery
• \recycled
• \recycler
• \system volume information
• \windows.old
• \windows10upgrade
• \windows
• \winnt

マルウェアが作成する以下のファイルは、脅迫状です。

• READ_ME_FOR_DECRYPT_ﻇ聏榀ｧ￿￿逭¤_.txt

マルウェアは、以下の内容を含む脅迫状のテキストファイルを残します。

• “ALL Y0UR D0CUMENTS, PHOTOS, DATABASES AND OTHER IMP0RTANT FILES HAVE BEEN ENCRYPTED! ==================================================================================================== Your files are NOT damaged! Your files are modified only. This modification is reversible. The only 1 way to decrypt your files is to receive the private key and decryption program. Any attempts to restore your files with the third-party software will be fatal for your files! ==================================================================================================== To receive the private key and decryption program follow the instructions below: 1. Download "Tor Browser" from and install it. 2. In the "Tor Browser" open your personal page here: http://????????¤.ofotqrmsrdc6c3rz.onion/EP866p5M93wDS513 Note! This page is available via "Tor Browser" only. ==================================================================================================== Also you can use temporary addresses on your personal page without using "Tor Browser": http://????????¤.bankme.date/EP866p5M93wDS513 http://????????¤.jobsnot.services/EP866p5M93wDS513 http://????????¤.carefit.agency/EP866p5M93wDS513 http://????????¤.hotdisk.world/EP866p5M93wDS513 Note! These are temporary addresses! They will be available for a limited amount of time!”