Ransom.MSIL.FAKEGLOBE.YABA-A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• {Directory}\HOW TO BACK YOUR FILES.exe (shows a separate window for ransom note)

マルウェアは、以下のプロセスを追加します。

• %System%\cmd.exe /c @echo off {Processes for turning off services and deleting shadow copies}
• %System%\cmd.exe /c @echo off {Processes for clearing logs through wevtutil and deleting shadow copies}

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows NT\Terminal Services
MaxDisconnectionTime = 0x240C8400

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows NT\Terminal Services
MaxIdleTime = 0x240C8400

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows\HomeGroup
DisableHomeGroup = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows Defender
DisableAntiSpyware = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows Defender\Real-Time Protection
DisableRealtimeMonitoring = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows Defender\Real-Time Protection
DisableBehaviorMonitoring = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows Defender\Real-Time Protection
DisableOnAccessProtection = 1

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
WindowsUpdateCheck = {path} (deleted afterwards)

プロセスの終了

マルウェアは、感染コンピュータ上でプロセスが常駐されていることを確認した場合、以下のいずれかの文字列を含むプロセスまたはサービスを終了します。

• browser
• vss
• MongoDB
• SQLWriter
• MSSQLServerOLAPService
• MSSQLSERVER
• MSSQL$SQLEXPRESS
• ReportServer
• OracleServiceORCL
• OracleDBConsoleorcl
• OracleMTSRecoveryService
• OracleVssWriterORCL
• MySQL

その他

マルウェアは、以下を実行します。

• It avoids encrypting files with the following file extensions:
  • .^^^
  • .$er
  • .4dd
  • .4dl
  • .abs
  • .abx
  • .accdb
  • .accdc
  • .accde
  • .accdr
  • .accdt
  • .accdw
  • .accft
  • .adb
  • .adb
  • .ade
  • .adf
  • .adn
  • .adp
  • .alf
  • .ask
  • .avhd
  • .ba_
  • .bak
  • .btr
  • .cat
  • .cdb
  • .ckp
  • .cma
  • .cpd
  • .dacpac
  • .dad
  • .dadiagrams
  • .daschema
  • .db
  • .db-journal
  • .db-shm
  • .db-wal
  • .db2
  • .db3
  • .dbb
  • .dbc
  • .dbf
  • .dbs
  • .dbt
  • .dbv
  • .dbx
  • .dcb
  • .dct
  • .dcx
  • .ddl
  • .dlis
  • .dll
  • .dp1
  • .dqy
  • .dsk
  • .dsn
  • .dtsx
  • .dxl
  • .eco
  • .ecx
  • .edb
  • .epim
  • .fcd
  • .fdb
  • .fic
  • .flexolibrary
  • .fm5
  • .fmp
  • .fmp12
  • .fmpsl
  • .fol
  • .fp3
  • .fp4
  • .fp5
  • .fp7
  • .fpt
  • .frm
  • .gdb
  • .gdb
  • .grdb
  • .gwi
  • .hdb
  • .his
  • .ib
  • .idb
  • .ihx
  • .ini
  • .itdb
  • .itw
  • .jet
  • .jtx
  • .kdb
  • .kexi
  • .kexic
  • .kexis
  • .lgc
  • .lnk
  • .lwx
  • .maf
  • .maq
  • .mar
  • .marshal
  • .mas
  • .mav
  • .maw
  • .mdb
  • .mdbhtml
  • .mdf
  • .mdn
  • .mdt
  • .mfd
  • .mpd
  • .mrg
  • .mud
  • .mwb
  • .myd
  • .ndf
  • .nnt
  • .nrmlib
  • .ns2
  • .ns3
  • .ns4
  • .nsf
  • .nv
  • .nv2
  • .nwdb
  • .nyf
  • .odb
  • .odb
  • .oqy
  • .ora
  • .orx
  • .owc
  • .p96
  • .p97
  • .pan
  • .pdm
  • .pnz
  • .qry
  • .qvd
  • .rbf
  • .rctd
  • .rod
  • .rodx
  • .rpd
  • .rsd
  • .sas7bdat
  • .sbf
  • .scx
  • .sdb
  • .sdc
  • .sdf
  • .sis
  • .spq
  • .sql
  • .sqlite
  • .sqlite3
  • .sqlitedb
  • .sys
  • .te
  • .teacher
  • .tmd
  • .tps
  • .trc
  • .trc
  • .trm
  • .udb
  • .udl
  • .usr
  • .v12
  • .vbox
  • .vdi
  • .vhd
  • .vhdx
  • .vis
  • .vmdk
  • .vpd
  • .vvv
  • .wdb
  • .wmdb
  • .wrk
  • .xdb
  • .xld
  • .xml
  • .xmlff

ランサムウェアの不正活動

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• windows
• bootmgr
• temp
• pagefile.sys
• boot
• ids.txt
• ntuser.dat
• perflogs
• $Recycle.Bin

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .Globeimposter-Alpha{Random characters}