Ransom.Linux.HELLOKITTY.YXBHM

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

特定のファイル拡張子を持つファイルを暗号化します。 身代金要求文書のファイルを作成します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• {Malware Folder}/work.log → Contains log of actions done.

マルウェアは、以下のプロセスを追加します。

• If ran with the argument -k:
  • esxcli vm process list
  • esxcli vm process kill -t=soft -w={id}
  • esxcli vm process kill -t=hard -w={id}
  • esxcli vm process kill -t=force -w={id}

その他

マルウェアは、以下のパラメータを受け取ります。

• -v - Enable Verbose Logging.
• -d - Run as Daemon.
• -k - Kill running EXSi VM.
• -e - Encrypt VM files.
• {Starting Folder} - Starting Directory to Encrypt.
• -m (10-20-25-33-50)

ランサムウェアの不正活動

以下の拡張子を持つファイルを暗号化します：$$ DATA $$

• If ran with the argument -e:
  • .vmdk
  • .vmx
  • .vmsd
  • .vmsn

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• .crypt
• .README_TO_RESTORE
• .tmp_
• If not ran with the argument -e:
  • .a
  • .so
  • .la
  • .xxx

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• /bin
• /boot
• /dev
• /etc
• /lib
• /lib32
• /lib64
• /lost+found
• /proc
• /run
• /sbin
• /usr/bin
• /usr/include
• /usr/lib
• /usr/lib32
• /usr/lib64
• /usr/sbin
• /sys
• /usr/libexec
• /usr/share
• /var/lib

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .crypt

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Folder}/{Original Filename}.{Original File Extension}.tmp_.README_TO_RESTORE