Ransom.Win64.EXITIUM.C

マルウェアは、他のマルウェアに作成されるか、意図あるWebサイトからユーザが言ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、バックドア活動の機能を備えていません。

マルウェアは、情報収集する機能を備えていません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、脅威あるWebサイトからユーザが言ってダウンロードすることによりコンピューターに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\MyPayload.dll → Ransom.Win64.EXITIUM.B として検出

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、バックドア活動の機能を備えていません。

ルートキット機能

マルウェアは、ルートキット機能を備えていません。

情報漏えい

マルウェアは、情報収集する機能を備えていません。

その他

マルウェアは、以下を実行します。

• ドロップされたDLL (MyPayload.dll) をロードして、ランサムウェアのペイロードを実行します。
• 以下をパラメータとして受け取り、受信したコマンドラインパラメータをロードされたDLLに直接渡します:
  • --fast → 部分的なヘッダー暗号化を直接適用することで暗号化を高速化します
  • --gpo → Active Directory グループポリシーオブジェクト (GPO) のスケジュール済みタスクを作成して展開します
  • --local → 暗号化ルーチンをローカルの固定ドライブのみに厳格に制限します
  • --net → ポート 445 (SMB) のサブネットスイープを有効にし、リモートネットワーク共有を列挙します
  • --quiet → コンソールログやUIインジケータを表示せずに、バックグラウンドで静かに実行します
  • --readme → ファイルを暗号化せずに、身代金要求文書 "YOU ARE UNDER ATTACK!.html" をドロップします
  • {パス} → 指定されたディレクトリパスを暗号化の対象とします

マルウェアは、脆弱性を利用した感染活動を行いません。

インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\MyPayload.dll → 「Ransom.Win64.EXITIUM.B」として検出される

その他

マルウェアは、以下を実行します。

• 作成されたDLL（MyPayload.dll）を読み込み、ランサムウェアのペイロードを実行します。
• 以下のパラメータを受け取り、読み込んだDLLに受信したコマンドラインパラメータを直接渡します。
  • --fast → ヘッダを部分的に暗号化することで暗号化処理を高速化する
  • --gpo → Active Directory GPOを用いたスケジュールタスクを作成して展開する
  • --local → ローカルの固定ドライブのみを対象に暗号化処理を実行する
  • --net → ポート番号445（SMB）に対するサブネットスキャンを有効化し、暗号化を目的にリモートネットワーク上の共有フォルダを列挙する
  • --quiet → コンソールログや進行状況バーを表示させずにバックグラウンドで密かに実行する
  • --readme → ファイルを暗号化させずに、すべての対象ディレクトリに身体金要求文書「YOU ARE UNDER ATTACK!.html」を作成する
  • {パス} → 指定されたディレクトリパスを対象に暗号化処理を行う