Ransom.MSIL.KARSOVROP.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• "cmd.exe" /c net stop wscsvc
• "%System%\vssadmin.exe" delete shadows /all /quite
• "cmd.exe" /c {Malware File Path}\DeleteItself.bat

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• agntsvc
• dbeng50
• dbsnmp
• encsvc
• excel
• firefoxconfig
• infopath
• isqlplussvc
• msaccess
• msftesql
• mspub
• mydesktopqos
• mydesktopservice
• mysqld
• mysqld-nt
• mysqld-opt
• ocautoupds
• ocomm
• ocssd
• onenote
• oracle
• outlook
• powerpnt
• sqbcoreservice
• sqlagent
• sqlbrowser
• sqlservr
• sqlwriter
• steam
• synctime
• tbirdconfig
• thebat
• thebat64
• thunderbird
• visio
• winword
• wordpad
• xfssvccon
• Any process whose image path does not start in %System Root%
• Any process whose image path does not contain "microsoft" or "windows" (case-insensitive)

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

作成活動

マルウェアは、以下のファイルを作成します。

• {Encrypted Path}\{Encrypted File Name}.{Encrypted File Extension}.karsovrop_TMP → deleted after the file is encrypted
• {Malware File Path}\DeleteItself.bat → used to delete the malware (deleted afterwards)

その他

マルウェアは、以下を実行します。

• It will only execute if the system date is after the 15th of every month from the year 2024 onwards.
• It avoids encrypting files that contains the following strings at the end of their filenames:
  • FILE RECOVERY.txt
• It shows the following dialog box which accepts the path/directory to prioritize in encrypting:
  

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• autorun.inf
• boot.ini
• Bootfont.bin
• bootsect.bak
• concache.db
• DECRYPT-FILES.html
• desktop.ini
• io.sys
• ntdetect.com
• ntldr
• ntuser.dat
• ntuser.dat.log
• readme-warning.txt
• thumbs.db

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• $windows.~bt
• $windows.~ws
• appdata
• application data
• Assemblies
• boot
• Common Files
• Core Runtime
• google
• intel
• Internet Explorer
• Microsoft Analysis Services
• Microsoft ASP.NET
• Microsoft Help Viewer
• Microsoft MPI
• Microsoft Security Client
• Microsoft Security Client
• Microsoft.NET
• mozilla
• msocache
• Package
• Package Store
• perflogs
• programdata
• Reference
• Store
• system volume information
• tor browser
• Windows
• Windows Defender
• Windows Kits
• Windows Mail
• Windows Microsoft.NET
• Windows NT
• Windows Photo Viewer
• Windows Portable Devices
• Windows Sidebar
• windows.old
• WindowsPowerShell

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .karsovrop

マルウェアが作成する以下のファイルは、脅迫状です。

• {Discovered Path}\FILE RECOVERY.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .386
• .adv
• .ani
• .bat
• .bin
• .cab
• .cmd
• .com
• .cpl
• .cur
• .deskthemepack
• .diagcab
• .diagpkg
• .dll
• .drv
• .exe
• .hlp
• .hta
• .icl
• .icns
• .ico
• .ics
• .idx
• .jar
• .karsovrop
• .karsovrop_TMP
• .lnk
• .mod
• .mpa
• .msc
• .msi
• .msp
• .msstyles
• .msu
• .nls
• .nomedia
• .ocs
• .prf
• .ps1
• .rom
• .rtp
• .scr
• .shs
• .sys
• .theme
• .themepack
• .wpx