Ransom.MSIL.LOCKBIT.VLC

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• "%System%\cmd.exe" /c vssadmin delete shadows /all /quiet & wmic shadowcopy delete & bcdedit /set {default} bootstatuspolicy ignoreallfailures & bcdedit /set {default} recoveryenabled no & wbadmin delete catalog -quiet
• "%System%\cmd.exe" /c vssadmin Delete Shadows /All /Quiet
• "%System%\cmd.exe" /c bcdedit /set {default} recoveryenabled No
• "%System%\cmd.exe" /c bcdedit /set {default} bootstatuspolicy ignoreallfailures
• "%System%\cmd.exe" /c wbadmin DELETE SYSTEMSTATEBACKUP
• "%System%\cmd.exe" /c wbadmin DELETE SYSTEMSTATEBACKUP -deleteOldest
• "%System%\cmd.exe" /c wmic SHADOWCOPY /nointeractive
• "%System%\cmd.exe" /c wevtutil cl security
• "%System%\cmd.exe" /c wevtutil cl system
• "%System%\cmd.exe" /c wevtutil cl application
• "%System%\cmd.exe" /c vssadmin Delete Shadows /All /Quiet
• "%System%\cmd.exe" /c bcdedit /set {default} recoveryenabled No
• "%System%\cmd.exe" /c bcdedit /set {default} bootstatuspolicy ignoreallfailures
• "%System%\cmd.exe" /c wbadmin DELETE SYSTEMSTATEBACKUP
• "%System%\cmd.exe" /c wbadmin DELETE SYSTEMSTATEBACKUP -deleteOldest
• "%System%\cmd.exe" /c wmic SHADOWCOPY /nointeractive

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

他のシステム変更

マルウェアは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
XO1XADpO01 = "%Windows%\Microsoft.NET\Framework\v2.0.50727\vbc.exe"

HKEY_CURRENT_USER\Software\LockBit
full = {Binary data}

HKEY_CURRENT_USER\Software\LockBit
Public = {Binary data}

プロセスの終了

マルウェアは、感染コンピュータ上でプロセスが常駐されていることを確認した場合、以下のいずれかの文字列を含むプロセスまたはサービスを終了します。

• 360doctor
• 360se
• ARSM
• AcrSch2Svc
• AcronisAgent
• Adobe CEF Helper
• Adobe Desktop Service
• AdobeCollabSync
• AdobeIPCBroker
• AutodeskDesktopApp
• BackupExecAgentAccelerator
• BackupExecAgentBrowser
• BackupExecDiveciMediaService
• BackupExecJobEngine
• BackupExecManagementService
• BackupExecRPCService
• BackupExecVSSProvider
• BrCcUxSys
• BrCtrlCntr
• CAARCUpdateSvc
• CASAD2DWebSvc
• CagService
• CoreSync
• Creative Cloud
• Culserver
• Culture
• DefWatch
• Defwatch
• DellSystemDetect
• EnterpriseClient
• FCS
• FishbowlMySQL
• GDscan
• InputPersonalization
• Intuit
• MSExchange
• MSExchange$
• MSSQL
• MSSQL$
• MSSQL$KAV_CS_ADMIN_KIT
• MSSQL$MICROSOFT##SSEE
• MSSQL$MICROSOFT##WID
• MSSQL$SBSMONITORING
• MSSQL$SHAREPOINT
• MSSQL$VEEAMSQL2012
• MSSQLFDLauncher$SBSMONITORING
• MSSQLFDLauncher$SHAREPOINT
• MSSQLServerADHelper100
• MVArmor
• MVarmor64
• MsDtSrvr
• MySQL57
• ONENOTEM
• PDVFSService
• QBCFMonitorService
• QBDBMgr
• QBDBMgrN
• QBFCService
• QBIDPService
• QBVSS
• QBW32
• QuickBooks
• RAgui
• RTVscan
• RdrCEF
• SQLADHLP
• SQLAgent$KAV_CS_ADMIN_KIT
• SQLAgent$SBSMONITORING
• SQLAgent$SHAREPOINT
• SQLAgent$VEEAMSQL2012
• SQLBrowser
• SQLWriter
• SavRoam
• Simply
• SimplyConnectionManager
• Sqlservr
• Ssms
• SystemTrayIcon
• TeamViewer
• TeamViewer_Service
• TitanV
• VSNAPVSS
• VeeamDeploymentService
• VeeamDeploymentSvc
• VeeamNFSSvc
• VeeamTransportSvc
• WSBExchange
• YooBackup
• YooIT
• ZhuDongFangYu
• acwebbrowser
• agntsvc
• axlbridge
• backup
• bedbg
• bedbh
• benetns
• bengien
• beserver
• ccEvtMgr
• ccSetMgr
• dbeng50
• dbeng8
• dbsnmp
• dbsrv12
• encsvc
• excel
• fbguard
• fbserver
• fdhost
• fdlauncher
• firefox
• httpd
• infopath
• isqlplussvc
• java
• koaly-exp-engine-service
• memtas
• mepocs
• msaccess
• msftesql-Exchange
• msmdsrv
• mspub
• mydesktopqos
• mydesktopservice
• mysqld
• node
• notepad
• ocautoupds
• ocomm
• ocssd
• onenote
• oracle
• outlook
• powerpnt
• pvlsvr
• qbupdate
• raw_agent_svc
• sam
• sophos
• sqbcoreservice
• sql
• sqladhlp
• sqlagent
• sqlbrowser
• sqlmangr
• sqlwriter
• stc_raw_agent
• steam
• supervise
• svc$
• sync-taskbar
• sync-worker
• synctime
• tbirdconfig
• thebat
• thunderbird
• tomcat6
• tv_w32
• tv_x64
• veeam
• visio
• vmware-converter
• vmware-usbarbitator64
• vsnapvss
• vss
• vxmon
• wdswfsafe
• winword
• wordpad
• wrapper
• wsa_service
• wxServerView
• xfssvccon
• zhudongfangyu

その他

マルウェアは、以下の画像を表示します。

マルウェアは、以下を実行します。

• It propagates across the network via SMB queries.

ランサムウェアの不正活動

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .lockbit

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted directory}/Restore-My-Files.txt

マルウェアは、以下の内容を含む脅迫状のテキストファイルを残します。

<補足>
その他

マルウェアは、SMB（サーバメッセージブロック）接続を介してネットワーク全体に感染活動を行います。