• Email
• Facebook
• Twitter
• Google+
• Linkedin

Ransom.Win64.AZVO.A

---

• マルウェアタイプ: 身代金要求型不正プログラム（ランサムウェア）
• 破壊活動の有無: なし
• 暗号化: はい
• 感染報告の有無: はい

---

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

---

  詳細

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %ProgramData%\rdpclient.exe ← copy of %System%\msiexec.exe or %System%\perfmon.exe infected with azvo ransomware code

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Local\azov
• Local\Kasimir_{Letter of Drive being Encrypted}

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Bandera = %ProgramData%\rdpclient.exe

その他

マルウェアは、以下を実行します。

• It checks if msiexec.exe or perfmon.exe is present in the machine's %System% folder:
  • If msiexec.exe or perfmon.exe is present, it checks if rdpclient.exe is present in the machine's %ProgramData% folder:
    • If rdpclient.exe is not present, it copies msiexec.exe or perfmon.exe as rdpclient.exe in %ProgramData% and injects malicious codes to it.
• It only encrypts if date and time is on or after:
  • Oct 27, 2022 10:14:29 AM
• It uses intermittent encryption - encrypts 666 bytes then skips 666 bytes
• It injects its code to executable files that meets the following conditions:
  • The file is not found in the list of avoided folders/paths
  • The file extension is .exe
  • The file size is less than 20MB
  • The file is a 64-bit executable file
  • The PE section containing the entry point has enough space for the shellcode to be injected

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• RESTORE_FILES.txt

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• Windows
• Program Data
• cache2\entries
• Low\Content.IE5
• User Data\Default\Cache
• Documents and Settings
• All Users

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .azov

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Path}\RESTORE_FILES.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .dll
• .exe
• .ini
• .azov

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください