Trend Micro Security

Ransom.Win64.BLACKBYTE.THBBBBC

2023年3月22日
 解析者: Kim Benedict Victorio   
 別名:

Win64:Malware-gen (AVAST)

 プラットフォーム:

Windows

 危険度:
 ダメージ度:
 感染力:
 感染確認数:
 情報漏えい:


  • マルウェアタイプ: 身代金要求型不正プログラム（ランサムウェア）
  • 破壊活動の有無: なし
  • 暗号化: なし
  • 感染報告の有無: はい

  概要

感染経路 他のマルウェアからの作成

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のフォルダ内にあるファイルを削除します。これにより、該当プログラムおよびアプリケーションが正しく実行されなくなります。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

  詳細

ファイルサイズ 663,424 bytes
タイプ EXE
メモリ常駐 なし
発見日 2023年2月22日
ペイロード ファイルの作成, ファイルの削除, システムのレジストリの変更, プロセスの強制終了, URLまたはIPアドレスに接続

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

  • %System Root%\SystemData\MsExchangeLog1.log
  • %System Root%\SystemData\t8bjd27 (delete after)
  • %System Root%\SystemData\{Random Characters}.ico

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

マルウェアは、以下のプロセスを追加します。

  • %System&\svchost.exe -s 63389936
  • /c ping 1 1 1 -n 10 > Nul & fsutil file setZeroData offset=0 length=663424 "{Malware Path}{Malware Name}" & Del {Malware Path}{Malware Name} /F /Q
  • %System%\svchost.exe -k NetworkService
  • %System%\svchost.exe -k LocalService
  • %System%\svchost.exe -k LocalServiceAndNoImpersonation
  • %System%\svchost.exe -k regsvc

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、以下のフォルダを作成します。

  • %System Root%\SystemData

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

  • Global\d844900fbb575e14e52e60f2dbacaed8be2ed9effa9d82c84e86fee2e4d24d53

マルウェアは、以下のプロセスにコードを組み込みます。

  • %System&\svchost.exe -s 63389936

他のシステム変更

マルウェアは、以下のフォルダ内にあるファイルを削除します。

  • %Application Data%\Microsoft\Windows\Recent\
  • %User Temp%
  • %Temp%

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Temp%フォルダは、一時的にファイルが保存されるフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Windows\Temp" です。.)

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\CLASSES\
.blackbytent
(Default) = ALL YOUR FILES ARE ENCRYPTED!

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
.blackbytent\DefaultIcon
(Default) = n:\SystemData\{Random Characters}.ico

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
EnableLinkedConnections = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
LocalAccountTokenFilterPolicy = 1

HKEY_CURRENT_USER\Control Panel\International
s1159 = BLACKBYTE

HKEY_CURRENT_USER\Control Panel\International
s2359 = BLACKBYTE

マルウェアは、以下のレジストリキーを削除します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
vssadmin.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
wbadmin.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
bcdedit.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
powershell.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
diskshadow.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
net.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
taskkill.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
wmic.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
fsutil.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Raccine

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\EventLog\Application\
Raccine

HKEY_USERS\S-1-5-21-2272379601-2892648605-4202271867-1000\SOFTWARE\
Raccine

HKEY_USERS\S-1-5-21-2272379601-2892648605-4202271867-1000\SOFTWARE\
Microsoft\Windows\CurrentVersion\
Run\Raccine Tray

感染活動

マルウェアは、以下のユーザ名およびパスワードを用いて、パスワード保護された共有フォルダにアクセスします。

  • username: {company name}\administrator
  • password: P@$$w0rd

プロセスの終了

マルウェアは、感染コンピュータ上で確認した以下のサービスを終了します。

  • CybereasonRansomFree
  • vnetd
  • bpcd
  • TeraCopyService
  • msftesql
  • nsService
  • klvssbridge64
  • vapiendpoint
  • ShMonitor
  • Smcinst
  • SmcService
  • SntpService
  • svcGenericHost
  • swi_
  • TmCCSF
  • tmlisten
  • TrueKey
  • TrueKeyScheduler
  • TrueKeyServiceHelper
  • WRSVC,McTaskManager
  • OracleClientCache80
  • mfefire
  • wbengine
  • mfemms
  • RESvc
  • mfevtp
  • sacsvr
  • SAVAdminService
  • SAVService
  • SepMasterService
  • PDVFSService
  • ESHASRV
  • SDRSVC
  • FA_Scheduler
  • KAVFS
  • KAVFSGT
  • kavfsslp
  • klnagent
  • macmnsvc
  • masvc
  • MBAMService
  • MBEndpointAgent
  • McShield
  • Antivirus
  • AVP
  • DCAgent
  • bedbg
  • EhttpSrv
  • MMS
  • ekrn
  • EPSecurityService
  • EPUpdateService
  • ntrtscan
  • EsgShKernel
  • msexchangeadtopology
  • AcrSch2Svc
  • MSOLAP$TPSAMA
  • Intel(R) PROSet Monitoring
  • msexchangeimap4
  • ARSM
  • unistoresvc_1af40a
  • ReportServer$TPS
  • MSOLAP$SYSTEM_BGC
  • W3Svc
  • MSExchangeSRS
  • ReportServer$TPSAMA
  • Zoolz 2 Service
  • MSOLAP$TPS
  • aphidmonitorservice
  • SstpSvc
  • MSExchangeMTA
  • ReportServer$SYSTEM_BGC
  • Symantec System Recovery
  • UI0Detect
  • MSExchangeSA
  • MSExchangeIS
  • ReportServer
  • MsDtsServer110
  • POP3Svc
  • MSExchangeMGMT
  • SMTPSvc
  • MsDtsServer
  • IisAdmin
  • MSExchangeES
  • EraserSvc11710
  • Enterprise Client Service
  • MsDtsServer100
  • NetMsmqActivator
  • stc_raw_agent
  • VSNAPVSS
  • PDVFSService
  • AcrSch2Svc
  • Acronis
  • CASAD2DWebSvc
  • CAARCUpdateSvc
  • McAfee
  • avpsus
  • DLPAgentService
  • mfewc
  • BMR Boot Service
  • DefWatch
  • ccEvtMgr
  • ccSetMgr
  • SavRoam
  • RTVscan
  • QBFCService
  • QBIDPService
  • IntuitQuickBooksFCS
  • QBCFMonitorService
  • YooIT
  • zhudongfangyu
  • raccine
  • cylance
  • screenconnect
  • ransom
  • sqltelemetry
  • msexch
  • vnc
  • teamviewer
  • msolap
  • veeam
  • backup
  • sql
  • memtas
  • vss
  • sophos
  • svc$
  • mepocs

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

  • teracopy
  • nsservice
  • nsctrl
  • uranium
  • processhacker
  • procmon
  • pestudio
  • procmon64
  • x32dbg
  • x64dbg
  • cff explorer
  • procexp
  • pslist
  • tcpview
  • tcpvcon
  • dbgview
  • rammap
  • rammap64
  • vmmap
  • ollydbg
  • autoruns
  • autorunsc
  • filemon
  • regmon
  • idaq
  • idaq64
  • immunitydebugger
  • wireshark
  • dumpcap
  • hookexplorer
  • importrec
  • petools
  • lordpe
  • sysinspector
  • proc_analyzer
  • sysanalyzer
  • sniff_hit
  • windbg
  • joeboxcontrol
  • joeboxserver
  • joeboxserver
  • resourcehacker
  • fiddler
  • httpdebugger
  • dumpit
  • rammap
  • rammap64
  • vmmap
  • agntsvc
  • cntaosmgr
  • dbeng50
  • dbsnmp
  • encsvc
  • infopath
  • isqlplussvc
  • mbamtray
  • msaccess
  • msftesql
  • mspub
  • mydesktopqos
  • mydesktopservice
  • mysqld
  • mysqld-nt
  • mysqld-opt
  • Ntrtscan
  • ocautoupds
  • ocomm
  • ocssd
  • onenote
  • oracle
  • outlook
  • PccNTMon
  • powerpnt
  • sqbcoreservice
  • sql
  • sqlagent
  • sqlbrowser
  • sqlservr
  • sqlwriter
  • steam
  • synctime
  • tbirdconfig
  • thebat
  • thebat64
  • thunderbird
  • tmlisten
  • visio
  • winword
  • wordpad
  • xfssvccon
  • zoolz

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

  • {BLOCKED}.{BLOCKED}.{BLOCKED}.150
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.248
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.136
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.135
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.154
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.22
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.101
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.253
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.97
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.169
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.192
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.24
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.100
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.105
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.208
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.136
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.213
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.216
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.214
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.218
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.239
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.225
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.231
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.230
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.125
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.160
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.152
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.5
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.6
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.38
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.66
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.167
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.235
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.11
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.9
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.85
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.143
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.211
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.4
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.116
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.96
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.174
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.201
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.13
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.9
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.12
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.7
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.10
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.28
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.24
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.29
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.38
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.39
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.37
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.51
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.43
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.42
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.19
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.20
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.21
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.16
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.18
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.25
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.68
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.72
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.80
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.81
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.89
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.101
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.104
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.105
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.102
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.112
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.113
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.117
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.120
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.175
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.126
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.142
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.166
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.110
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.5
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.156
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.10
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.34
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.35
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.39
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.38
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.44
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.69
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.68
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.88
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.90
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.93
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.96
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.134
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.156
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.101
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.133
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.153
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.180
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.209
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.218
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.225
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.252
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.8
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.71
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.89
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.88
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.90
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.114
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.175
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.216
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.217
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.48
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.56
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.61
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.65
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.66
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.67
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.74
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.76
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.87
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.85
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.107
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.101
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.105
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.108
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.123
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.115
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.119
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.125
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.122
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.188
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.191
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.197
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.196
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.202
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.73
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.82
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.146
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.159
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.91
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.115
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.251
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.37
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.60
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.95
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.138
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.160
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.166
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.236
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.245
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.54
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.128
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.25
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.95
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.150
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.28
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.141
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.180
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.1
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.8
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.64
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.203
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.200
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.131
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.132
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.217
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.3
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.2
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.71
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.69
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.241
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.228
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.4
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.4
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.249
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.231
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.140
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.137
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.48
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.40
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.41
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.81
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.79
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.120
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.106
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.119
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.71
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.158
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.40
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.110
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.249
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.87
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.200
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.164
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.76
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.188
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.5
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.223
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.35
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.159
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.237
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.61
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.7
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.243
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.244
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.18
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.222
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.153
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.152
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.116
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.3
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.13
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.120
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.147
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.157
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.9
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.165
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.236
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.20
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.3
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.42
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.245
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.170
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.2
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.41
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.52
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.162
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.248
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.73
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.202
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.254
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.211
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.28
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.208
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.235

マルウェアは、以下を実行します。

  • It starts the following service:
    • TrustedInstaller
  • It accepts the following parameters:
    • -s 63389936 → required to continue to its routine
    • -a → compares the filename with “myapp.exe” to terminate and remove itself
    • -q
    • -w
    • svc
  • It DOES NOT continue to routine if User Default Language ID of the system is any of the following:
    • Russian (0x0419)
    • Armenia (0x042B)
    • Azerbaijan(Cyrillic) (0x082C)
    • Azerbaijan(Latin) (0x042C)
    • Belarus (0x0423)
    • Georgia (0x0437)
    • Kazakstan (0x043F)
    • Tajik(Cyrillic) (0x0428)
    • Turkmen (0x0442)
    • Uzbekistan(Cyrillic) (0x0843)
    • Uzbekistan(Latin) (0x0443)
  • It checks if the following virtual machine or sandbox related module(s) is loaded in the affected system:
    • avghooka.dll
    • avghookx.dll
    • sxin.dll
    • sf2.dll
    • sbiedll.dll
    • snxhk.dll
    • cmdvrt32.dll
    • cmdvrt64.dll
    • wpespy.dll
    • vmcheck.dll
    • pstorec.dll
    • dir_watch.dll
    • api_log.dll
    • dbghelp.dll
  • Enumerate all the files under C:\Windows\system32\drivers.
  • Find the substring of AV vendors under file properties of each driver.
  • Find the substring of AV vendors with file path.
  • It checks and compares the company name from the file properties if it has a substring of the following:
    • tanium
    • malwarebytes
    • emsisoft
    • elastic endpoint
    • trend micro
    • eset nod
    • carbonblack
    • mcafee
    • crowdstrike
    • cylance
    • fireeye
    • kaspersky
    • sentinelone
    • symantec
    • bitdefender
    • comodo
    • doctor web
    • f-secure
    • panda software
    • sophos
    • webroot
    • veeam
    • avast
    • acronis
    • aomei

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

  • bootnxt
  • ntldr
  • bootmgr
  • thumbs.db
  • ntuser.dat
  • bootsect.bak
  • autoexec.bat
  • iconcache.db
  • bootfont.bin

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

  • systemdata
  • windows
  • boot
  • program files
  • program files (x86)
  • windowsold
  • programdata
  • intel
  • bitdefender
  • trend micro
  • windowsapps
  • appdata
  • application data
  • system volume information
  • perflogs
  • msocache

マルウェアは、以下の名称を利用して暗号化されたファイルのファイル名を改称します。

  • {Encoded base64}.blackbytent

マルウェアが作成する以下のファイルは、脅迫状です。

  • {Encrypted Directory}\BB_Readme_CDXNB8WC.txt
    BlackByte ransom note

以下のファイル拡張子を持つファイルについては暗号化しません：

  • .mui
  • .log1
  • .search-ms
  • .ini
  • .url
  • .msilog
  • .log
  • .ldf
  • .lock
  • .theme
  • .msi
  • .sys
  • .wpx
  • .cpl
  • .adv
  • .msc
  • .scr
  • .key
  • .ico
  • .dll
  • .hta
  • .deskthemepack
  • .nomedia
  • .msu
  • .rtp
  • .msp
  • .idx
  • .ani
  • .386
  • .diagcfg
  • .bin
  • .mod
  • .ics
  • .com
  • .hlp
  • .spl
  • .nls
  • .cab
  • .exe
  • .diagpkg
  • .icl
  • .ocx
  • .rom
  • .prf
  • .themepack
  • .msstyles
  • .icns
  • .mpa
  • .drv
  • .cur
  • .diagcab
  • .cmd
  • .shs

  対応方法

対応検索エンジン: 9.800
初回 VSAPI パターンバージョン 18.272.04
初回 VSAPI パターンリリース日 2023年2月22日
VSAPI OPR パターンバージョン 18.273.00
VSAPI OPR パターンリリース日 2023年2月23日

手順 1

トレンドマイクロの機械学習型検索は、マルウェアの存在を示す兆候が確認された時点で検出し、マルウェアが実行される前にブロックします。機械学習型検索が有効になっている場合、弊社のウイルス対策製品はこのマルウェアを以下の機械学習型検出名として検出します。

    • Ransom.Win32.TRX.XXPE50FFF066E0002 (GENERIC: Hit Bad Auto Shield)

手順 2

Windows 7、Windows 8、Windows 8.1、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 3

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 4

このレジストリ値を削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_LOCAL_MACHINE\SOFTWARE\CLASSES\.blackbytent
    • (Default) = ALL YOUR FILES ARE ENCRYPTED!
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.blackbytent\DefaultIcon
    • (Default) = n:\SystemData\{Random Characters}.ico
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System
    • EnableLinkedConnections = 1
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System
    • LocalAccountTokenFilterPolicy = 1
  • In HKEY_CURRENT_USER\Control Panel\International
    • s1159 = BLACKBYTE
  • In HKEY_CURRENT_USER\Control Panel\International
    • s2359 = BLACKBYTE

手順 5

以下のファイルを検索し削除します。

[ 詳細 ]
コンポーネントファイルが隠しファイル属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • %System Root%\SystemData\MsExchangeLog1.log
  • %System Root%\SystemData\{Random Characters}.ico

手順 6

以下のフォルダを検索し削除します。

[ 詳細 ]
フォルダが隠しフォルダ属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • %System Root%\SystemData

手順 7

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「Ransom.Win64.BLACKBYTE.THBBBBC」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

手順 8

以下のファイルをバックアップを用いて修復します。なお、マイクロソフト製品に関連したファイルのみ修復されます。このマルウェア／グレイウェア／スパイウェアが同社製品以外のプログラムをも削除した場合には、該当プログラムを再度インストールする必要があります。

  • %Application Data%\Microsoft\Windows\Recent\{Files}
  • %User Temp%\{Files}
  • %Temp%\{Files}

手順 9

暗号化されたファイルをバックアップから復元します。


ご利用はいかがでしたか？　アンケートにご協力ください