Ransom.Win32.BLACKCAT.SMYMDED

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

特定のファイル拡張子を持つファイルを暗号化します。 身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• {Malware File Path}\{Malware File Name} {launch key}
• "cmd" /c "wmic.exe Shadowcopy Delete"
• "cmd" /c "vssadmin.exe Delete Shadows /all /quiet"

その他

マルウェアは、以下を実行します。

• It contains an embedded Impacket toolkit
• Adds the following service:
  • {Malware File Path}\{Malware File Name} {launch key} → Terminates afterwards

マルウェアは、以下のパラメータを受け取ります。

• {launch string} → required to proceed to its encryption routine
  • -p | --path {Directory}→ Path to encrypt.
  • -f | --paths-file {File path}→ Load path from file.
  • -o | --override-credentials {User credentials} → Oerride config credentials.
  • -R | --disable-recursion → Disable encrypting sub-folders within the specified directory in "--path" parameter.
  • -N | --disable-network → Disable automatic network discovery.
  • -K | --disable-elevate-to-system → Do not attempt to elevate acces token to system.
  • -E | --disable-self-propagation → Disable network self propagation.
  • -s | --suspend → Initialize and wait for incoming client connections.
  • -w | --watch {Time} → Server will remain active after execution and repeat discovery on given time.
  • -v | --verbose → Print log to console.
  • -X | --self-destuct → Delete file after execution.
  • -h | --help → Print help information.
  • -c | client → Connect to local server.
  • -e | exec → Start Remote Server.
  • -t | toolkit → Various tools.
  • help → Print help information.

ランサムウェアの不正活動

以下の拡張子を持つファイルを暗号化します：$$ DATA $$

• .log
• .docx
• .docm
• .dotx
• .dotm
• .vmxf
• .vmdk
• .vmem
• .vswp
• .vmsn
• .vmsd
• .vmx
• .iso
• .zip
• .txt
• .nvram
• .backup
• .lock
• .tmp
• .sql
• .doc
• .rtf
• .xls
• .jpg
• .jpeg
• .png
• .gif
• .webp
• .tiff
• .psd
• .raw
• .bmp
• .pdf
• .odt
• .xlsx
• .xlsm
• .xltx
• .xltm
• .xlsb
• .xlam
• .ods
• .pptx
• .pptm
• .ptox
• .potm
• .ppsx
• .ppsm
• .odp
• .mdf

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• \NTUSER.DAT
• \autorun.inf
• \boot.ini
• \desktop.ini
• \Program Files\Common Files\System
• \Program Files\Internet Explorer
• \Program Files\ModifiableWindowsApps
• \Program Files\Uninstall Information
• \Program Files\Windows Defender
• \Program Files\Windows Media Player
• \Program Files\Windows Photo Viewer
• \Program Files\Windows Security
• \Program Files\WindowsPowerShell
• \Program Files(x86)\Common Files
• \Program Files(x86)\Internet Explorer
• \Program Files(x86)\Microsoft\*Edge*
• \Program Files(x86)\Microsoft\Temp
• \Program Files(x86)\Microsoft.NET
• \Program Files(x86)\Windows Defender
• \Program Files(x86)\Windows Mail
• \Program Files(x86)\Windows NT
• \Program Files(x86)\Windows Security
• \Program Files(x86)\Windows Sidebar
• \Program Files(x86)\WindowsPowerShell
• \ProgramData\regid.*.com.microsoft
• \ProgramData\Microsoft\Device Stage
• \ProgramData\Microsoft\DeviceSync
• \ProgramData\Microsoft\Diagnosis
• \ProgramData\Microsoft\EdgeUpdate
• \ProgramData\Microsoft\Event Viewer
• \ProgramData\Microsoft\IdentityCRL
• \ProgramData\Microsoft\NetFramework
• \ProgramData\Microsoft\Provisioning
• \ProgramData\Microsoft\SmsRouter
• \ProgramData\Microsoft\Spectrum
• \ProgramData\Microsoft\Speech_OneCore
• \ProgramData\Microsoft\StorageHealth
• \ProgramData\Microsoft\WindowsNT
• \ProgramData\Microsoft\WinMSIPC
• \ProgramData\Packages\USOPrivat
• \ProgramData\Packages\USOShared
• \ProgramData\Packages\Microsoft
• \Program Files (x86)\Common Files\Microsoft Shared
• \Program Files (x86)\Windows MultimediaPlatform
• \ProgramData\Packages\WindowsHolographicDevices
• \Program Files\Common Files\Services
• \AppData\Local\Microsoft\GameDVR
• \AppData\Local\Packages\Microsoft
• \AppData\Local\Packages\MicrosoftWindows
• \AppData\Local\Packages\Internet Explorer
• \AppData\Local\Packages\Internet Explorer

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• \windows.old
• \PerfLogs
• \ProgramData
• /bin
• /sbin
• /boot
• /cdrom
• /etc
• /lib
• /proc
• /root
• /run
• /srv
• /sys
• /tmp
• /usr

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• {original file name}.{original extension}.{random characters}.kirgnl6

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Directory}/{Random Characters}.txt
  
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .msc0h
• .dll
• .sys
• .lock
• .msu
• .lnk
• .tmp