Ransom.Win64.LOCKBIT.YJDIHT

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、バックドア活動の機能を備えていません。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• {Malware File Path}\{Log File Name} → If the parameter -log {Log File Name} is used
• {Log File Path}\{Log File Name} → If the parameter -log {Log File Path}\{Log File Name} is used

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• hsfjuukjzloqu28oajh727190

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、バックドア活動の機能を備えていません。

ルートキット機能

マルウェアは、ルートキット機能を備えていません。

その他

マルウェアは、以下を実行します。

• By default, it encrypts local drives, removable drives and network shares.
• When encrypting network shares it will check if the IP address starts with the following to ensure that it is encrypting local, non-internet, systems:
  
  • 172.
  • 192.168.
  • 10.
  • 169.
• It encrypts files with the following extensions using a different encryption method:
  
  • .4dd
  • .4dl
  • .abcddb
  • .abs
  • .abx
  • .accdb
  • .accdc
  • .accde
  • .accdr
  • .accdt
  • .accdw
  • .accft
  • .adb
  • .ade
  • .adf
  • .adn
  • .adp
  • .alf
  • .arc
  • .ask
  • .avdx
  • .avhd
  • .bdf
  • .bin
  • .btr
  • .cat
  • .cdb
  • .ckp
  • .cma
  • .cpd
  • .dacpac
  • .dad
  • .dadiagrams
  • .daschema
  • .db
  • .db-shm
  • .db-wal
  • .db2
  • .db3
  • .dbc
  • .dbf
  • .dbs
  • .dbt
  • .dbv
  • .dbx
  • .dcb
  • .dct
  • .dcx
  • .ddl
  • .dlis
  • .dp1
  • .dqy
  • .dsk
  • .dsn
  • .dtsx
  • .dxl
  • .eco
  • .ecx
  • .edb
  • .epim
  • .exb
  • .fcd
  • .fdb
  • .fic
  • .fm5
  • .fmp
  • .fmp12
  • .fmps1
  • .fol
  • .fp3
  • .fp4
  • .fp5
  • .fp7
  • .fpt
  • .frm
  • .gdb
  • .grbd
  • .gwi
  • .hdb
  • .his
  • .hjt
  • .ib
  • .icg
  • .icr
  • .idb
  • .ihx
  • .iso
  • .itdb
  • .itw
  • .jet
  • .jtx
  • .kdb
  • .kdb
  • .kexi
  • .kexic
  • .kexis
  • .lgc
  • .lut
  • .lwx
  • .maf
  • .maq
  • .mar
  • .mas
  • .mav
  • .maw
  • .mdb
  • .mdf
  • .mdn
  • .mdt
  • .mpd
  • .mrg
  • .mud
  • .mwb
  • .myd
  • .ndf
  • .nnt
  • .nrmlib
  • .ns2
  • .ns3
  • .ns4
  • .nsf
  • .nv
  • .nv2
  • .nvram
  • .nwdb
  • .nyf
  • .odb
  • .oqy
  • .ora
  • .orx
  • .owc
  • .p96
  • .p97
  • .pan
  • .pdb
  • .pdm
  • .pnz
  • .pvm
  • .qcow2
  • .qry
  • .qvd
  • .raw
  • .rbf
  • .rctd
  • .rod
  • .rodx
  • .rpd
  • .rsd
  • .sas7bdat
  • .sbf
  • .sbf
  • .scx
  • .scx
  • .sdb
  • .sdb
  • .sdc
  • .sdc
  • .sdf
  • .sis
  • .spq
  • .sql
  • .sqlite
  • .sqlite3
  • .sqlitedb
  • .subvol
  • .te
  • .temx
  • .tmd
  • .tps
  • .trc
  • .trm
  • .udb
  • .udl
  • .usr
  • .v12
  • .vdi
  • .vhd
  • .vhdx
  • .vis
  • .vmcx
  • .vmdk
  • .vmem
  • .vmrs
  • .vmsd
  • .vmsn
  • .vmx
  • .vpd
  • .vsv
  • .vvv
  • .wdb
  • .wmdb
  • .wrk
  • .xdb
  • .xld
  • .xmlff
• It appends specific hex values to the encrypted files depending on their file size and extension.

マルウェアは、以下のパラメータを受け取ります。

• -p {Path} → Encrypts files in the specified path first before encrypting other paths
• -m {all|local|net|backups}
  
  • local → delete backups and encrypt local drives
  • net → delete backups and encrypt only network shares
  • all → combination of net and local
  • backups → delete backups
• -size {chunk mode} → chunk mode for encrypting large files
• -nomutex → does not create mutex
• -log {File name to create} → create a log file in {Malware File Path} unless a different file path is specified

マルウェアは、脆弱性を利用した感染活動を行いません。

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• !!!-Restore-My-Files-!!!.txt
• CONTI_LOG.txt

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• tmp
• winnt
• temp
• thumb
• $Recycle.Bin
• $RECYCLE.BIN
• System Volume Information
• Boot
• Windows
• Trend Micro
• perflogs

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .098fd602

マルウェアが作成する以下のファイルは、脅迫状です。

• {Drive Letter}:\!!!-Restore-My-Files-!!!.txt
• {Directory with Encrypted Files}\!!!-Restore-My-Files-!!!.txt
• %Desktop%\!!!-Restore-My-Files-!!!.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .exe
• .dll
• .lnk
• .sys
• .msi
• .bat
• .098fd602

<補足>
インストール

マルウェアは、以下のファイルを作成します。

• {マルウェアのファイルパス}\{ログファイルの名前} → パラメータ「-log {ログファイルの名前}」が使用された場合
• {ログファイルへのパス}\{ログファイルの名前} → パラメータ「-log {ログファイルへのパス}\{ログファイルの名前}」が使用された場合

他のシステム変更

マルウェアは、Windows Management Instrumentation（WMI）を使用して、ボリュームシャドウコピーを削除します。

• cmd.exe /c %System%\wbem\WMIC.exe shadowcopy where "ID='{GUID}'" delete

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。)

その他

マルウェアは、以下を実行します。

• デフォルトでは、ローカルドライブ、リムーバブルドライブ、ネットワーク上の共有ドライブを暗号化します。
• ネットワーク上の共有ドライブを暗号化する際、マルウェアは、IP アドレスが以下で始まるか否かを確認し、インターネット以外のローカルシステムを暗号化していることを確かなものにします。
  • 172
  • 192.168.
  • 10
  • 169
• 以下の拡張子を持つファイルを別の暗号方式で暗号化します。
  • .4dd
  • .4dl
  • .abcddb
  • .abs
  • .abx
  • .accdb
  • .accdc
  • .accde
  • .accdr
  • .accdt
  • .accdw
  • .accft
  • .adb
  • .ade
  • .adf
  • .adn
  • .adp
  • .alf
  • .arc
  • .ask
  • .avdx
  • .avhd
  • .bdf
  • .bin
  • .btr
  • .cat
  • .cdb
  • .ckp
  • .cma
  • .cpd
  • .dacpac
  • .dad
  • .dadiagrams
  • .daschema
  • .db
  • .db-shm
  • .db-wal
  • .db2
  • .db3
  • .dbc
  • .dbf
  • .dbs
  • .dbt
  • .dbv
  • .dbx
  • .dcb
  • .dct
  • .dcx
  • .ddl
  • .dlis
  • .dp1
  • .dqy
  • .dsk
  • .dsn
  • .dtsx
  • .dxl
  • .eco
  • .ecx
  • .edb
  • .epim
  • .exb
  • .fcd
  • .fdb
  • .fic
  • .fm5
  • .fmp
  • .fmp12
  • .fmps1
  • .fol
  • .fp3
  • .fp4
  • .fp5
  • .fp7
  • .fpt
  • .frm
  • .gdb
  • .grbd
  • .gwi
  • .hdb
  • .his
  • .hjt
  • .ib
  • .icg
  • .icr
  • .idb
  • .ihx
  • .iso
  • .itdb
  • .itw
  • .jet
  • .jtx
  • .kdb
  • .kdb
  • .kexi
  • .kexic
  • .kexis
  • .lgc
  • .lut
  • .lwx
  • .maf
  • .maq
  • .mar
  • .mas
  • .mav
  • .maw
  • .mdb
  • .mdf
  • .mdn
  • .mdt
  • .mpd
  • .mrg
  • .mud
  • .mwb
  • .myd
  • .ndf
  • .nnt
  • .nrmlib
  • .ns2
  • .ns3
  • .ns4
  • .nsf
  • .nv
  • .nv2
  • .nvram
  • .nwdb
  • .nyf
  • .odb
  • .oqy
  • .ora
  • .orx
  • .owc
  • .p96
  • .p97
  • .pan
  • .pdb
  • .pdm
  • .pnz
  • .pvm
  • .qcow2
  • .qry
  • .qvd
  • .raw
  • .rbf
  • .rctd
  • .rod
  • .rodx
  • .rpd
  • .rsd
  • .sas7bdat
  • .sbf
  • .sbf
  • .scx
  • .scx
  • .sdb
  • .sdb
  • .sdc
  • .sdc
  • .sdf
  • .sis
  • .spq
  • .sql
  • .sqlite
  • .sqlite3
  • .sqlitedb
  • .subvol
  • .te
  • .temx
  • .tmd
  • .tps
  • .trc
  • .trm
  • .udb
  • .udl
  • .usr
  • .v12
  • .vdi
  • .vhd
  • .vhdx
  • .vis
  • .vmcx
  • .vmdk
  • .vmem
  • .vmrs
  • .vmsd
  • .vmsn
  • .vmx
  • .vpd
  • .vsv
  • .vvv
  • .wdb
  • .wmdb
  • .wrk
  • .xdb
  • .xld
  • .xmlff
• ファイルのサイズと拡張子に応じて、暗号化したファイルに特定の16進数の値を付加します。

マルウェアは、以下のパラメータを受け取ります。

• -p {パス} → 指定されたパス内のファイルを最初に暗号化してから、他のパスを暗号化する
• -m {all|local|net|backups}
  • local → バックアップを削除し、ローカルドライブを暗号化する
  • net → バックアップを削除し、ネットワーク上の共有ドライブのみを暗号化する
  • all → パラメータ「net」/「local」の組み合わせ
  • backups → バックアップを削除する
• -size {チャンクモード} → 大きなファイルを暗号化するためのチャンクモード
• -nomutex → Mutexを作成しない
• -log {作成するファイルの名前} → 別のファイルパスが指定されない限り、{マルウェアのファイルパス}内にログファイルを作成する