Ransom.Win32.RYUK.WLDE

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• {Malware Directory}\{9 random characters}lan.exe → 3 copies with different random characters

マルウェアは、以下のプロセスを追加します。

• icacls "{Drive Letter}:\*" /grant Everyone:F /T /C /Q → grants all users access to files and folders on the specified drive
• net stop {Service Name} /y
• taskkill /IM /F {Process Name}

プロセスの終了

マルウェアは、感染コンピュータ上で確認した以下のサービスを終了します。

• vmcomp
• vmwp
• veeam
• Back
• xchange
• ackup
• acronis
• sql
• Enterprise
• Sophos
• Veeam
• AcrSch
• Antivirus
• bedbg
• DCAgent
• EPSecurity
• EPUpdate
• Eraser
• EsgSh
• Kernel
• FA_Scheduler
• IISAdmin
• IMAP4
• MBAM
• Endpoint
• Afee
• McShield
• task
• mfemms
• mfevtp
• mms
• MsDts
• Exchange
• ntrt
• PDVF
• POP3
• Report
• RESvc
• sacsvr
• SAVAdmin
• SamS
• SDRSVC
• SepMaster
• Monitor
• Smcinst
• Smc
• Service
• SMTP
• SNAC
• swi_
• CCSF
• TrueKey
• tmlisten
• UI0Detect
• W3S
• WRSVC
• NetMsmq
• ekrn
• EhttpSrv
• ESHASRV
• AVP
• klnagent
• wbengine
• KAVF
• mfefire

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• virtual
• vmcomp
• vmwp
• veeam
• backup
• Backup
• xchange
• sql
• dbeng
• sofos
• calc
• ekrn
• zoolz
• encsvc
• excel
• firefoxconfig
• infopath
• msaccess
• mspub
• mydesktop
• ocautoupds
• ocomm
• ocssd
• onenote
• oracle
• outlook
• powerpnt
• sqbcoreservice
• steam
• synctime
• tbirdconfig
• thebat
• thunderbird
• visio
• word
• xfssvccon
• tmlisten
• PccNTMon
• CNTAoSMgr
• Ntrtscan
• mbamtray

その他

マルウェアは、以下を実行します。

• It executes its 3 dropped copies with the following parameters:
  • "{Malware Directory}\{9 random characters}lan.exe" 8 LAN → attempts to turn on devices in the network using Wake-on-Lan feature. If successful, it will encrypt the files in device's administrative share.

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• ntldr
• bootmgr
• NTDETECT
• boot

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• \Windows\
• Windows
• boot
• WINDOWS
• Chrome
• Mozilla
• SYSVOL
• NTDS
• netlogon
• sysvol

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .RYK

マルウェアが作成する以下のファイルは、脅迫状です。

• %User Temp%\RyukReadMe.html
• {Encrypted Directory}\RyukReadMe.html
• %Public%\RyukReadMe.html
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .dll
• .exe
• .ini
• .lnk