• Email
• Facebook
• Twitter
• Google+
• Linkedin

Ransom.Win32.SPOOSH.THGAGBC

---

• マルウェアタイプ: 身代金要求型不正プログラム（ランサムウェア）
• 破壊活動の有無: なし
• 暗号化: なし
• 感染報告の有無: はい

---

  概要

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

---

  詳細

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• %System%\cmd.exe /C "vssadmin delete shadows /all /quiet"
• %System%\cmd.exe /C "rd /s /q %systemdrive%\$Recycle.bin"
• %System%\WindowsPowershell\v1.0\powershell.exe -Command "New-ItemProperty -Path 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System' -Name EnableLinkedConnections -Value 1 -PropertyType 'DWord'"
• %System%\WindowsPowershell\v1.0\powershell.exe -Command "get-service LanmanWorkstation |Restart-Service –Force"
• attrib.exe -R {Directory to Encrypt}\{File Name to Encrypt}.{File Extension to Encrypt}
• mshta.exe %System Root%\Boot\cs-CZ\information.hta

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Printers\SettingsLow
DI = {8 Random Alphanumeric Characters}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
EnableLinkedConnections = 1

マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。

• %AppDataLocal%\wallpaper.jpg

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• Agntsvc.exe
• Dbeng50.exe
• Dbsnmp.exe
• Encsvc.exe
• Excel.exe
• Firefox.exe
• Infopath.exe
• Isqlplussvc.exe
• Msaccess.exe
• Mspub.exe
• Mydesktopqos.exe
• Mydesktopservice.exe
• Notepad.exe
• Ocautoupds.exe
• Ocomm.exe
• Ocssd.exe
• Onenote.exe
• Oracle.exe
• Outlook.exe
• Powerpnt.exe
• Sqbcoreservice.exe
• Sql.exe
• Steam.exe
• Synctime.exe
• Tbirdconfig.exe
• Thebat.exe
• Thunderbird.exe
• Ut.exe
• Utweb.exe
• Visio.exe
• Winword.exe
• Wordpad.exe
• Xfssvccon.exe

作成活動

マルウェアは、以下のファイルを作成します。

• %AppDataLocal%\wallpaper.jpg

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

情報漏えい

マルウェアは、以下の情報を収集します。

• Processor Name
• Memory
• Internal IP Address
• Manufacturer
• OS Version
• Computer Name
• Product Name
• External IP Address
• Device ID

その他

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Printers\SettingsLow

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• tcp://{BLOCKED}.{BLOCKED}.154.137:21119

マルウェアは、以下を実行します。

• It terminates itself if the computer language is Russian
• It downloads the desktop wallpaper to be set from the following url:
  
  • https://i.{BLOCKED}g.cc/JzpfvBFf/wallapaper.jpg
• It connects to the following url to identify the machine's external IP address:
  
  • https://{BLOCKED}rnalip.com

ランサムウェアの不正活動

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• $RECYCLE.BIN
• $Recycle.Bin
• $WINDOWS.~BT
• $WINDOWS.~WS
• $WinREAgent
• $Windows.~WS
• AdwCleaner
• AppData
• dev
• Documents and Settings
• Hyberfil
• MSOCache
• Pagefile
• PerfLogs
• Program Files
• Program Files (x86)
• ProgramData
• Recovery
• SYSTEM.SAV
• System Volume Information
• Thumbs
• Thumbs.db
• Windows.old
• windows.old
• Windows.old.000
• windows.old.000

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .[[{8 Random Alphanumeric Characters}]].[[{Email Address}]].sophos

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Directory}\information.hta
• %System Root%\Boot\cs-CZ\information.hta
• 

以下のファイル拡張子を持つファイルについては暗号化しません：

• .adv
• .ani
• .bat
• .com
• .cpl
• .cur
• .deskthemepack
• .Devos
• .diagcab
• .diagcfg
• .diagpkg
• .dll
• .drv
• .faust
• .hlp
• .hta
• .icl
• .icns
• .ico
• .ics
• .idx
• .inf
• .ini
• .joker
• .key
• .ldf
• .lnk
• .lock
• .log
• .mkp
• .mod
• .mpa
• .msc
• .msp
• .msstyles
• .msu
• .nls
• .nomedia
• .ocx
• .prf
• .ps1
• .regtrans-ms
• .rom
• .rtp
• .scr
• .shs
• .sophos
• .spl
• .sys
• .theme
• .themepack
• .tmp
• .wpx

<補足>
情報漏えい

マルウェアは、以下の情報を収集します。

• プロセッサ名
• メモリ
• 内部IPアドレス
• 製造業者
• オペレーティングシステム（OS）のバージョン
• コンピュータ名
• 製品名
• 外部IPアドレス
• デバイスID

その他

マルウェアは、以下を実行します。

• コンピュータ言語がロシア語の場合、自身の不正活動を終了します。
• 設定するデスクトップの壁紙を以下のURLからダウンロードします。
  • https://i.{BLOCKED}g.cc/JzpfvBFf/wallapaper.jpg
• 以下のURLに接続して、感染コンピュータの外部IPアドレスを特定します。
  • https://{BLOCKED}rnalip.com

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください