Ransom.Win32.CELANCYC.THCCABC

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、感染コンピュータ上の特定の情報を収集します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• {Malware File Path}\MSVCR100.dll → Contains the logs of the ransomware
• %ProgramData%\SBOX → Contains the encryption key
• %ProgramData%\LPW4.tmp → Contains the command to shutdown or restart the system

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

マルウェアは、以下のプロセスを追加します。

• cmd.exe /c SCHTASKS.exe /Create /RU \"NT AUTHORITY\SYSTEM\" /sc onstart /TN \"Windows Update Beta\" /TR \"{Malware File Path}" /F"
• cmd.exe "/c ""%ProgramData%\LPW4.tmp""/SHUTDOWN" →When -power shutdown parameter is used
• cmd.exe "/c ""%ProgramData%\LPW4.tmp"" /RESTART" →When -power restart parameter is used
• cmd.exe /c SCHTASKS.exe /Delete /TN \"Windows Update Beta\" /TR \"{Malware File Path}" /F"
• cmd.exe "/c ping 127.0.0.1 -n 5 > nul & del {Malware File Path}"" → When -selfdel is used

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\CylanceMutex

自動実行方法

この「スケジュールされたタスク」により、以下の時間ごとにマルウェアが実行されます。

• System Startup

情報漏えい

マルウェアは、感染コンピュータ上の以下の情報を収集します。

• IP
• UID
• PID
• Version
• OS
• Computer name
• USername
• Domain
• RAM
• CPU
• Disk informations

情報収集

マルウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• {BLOCKED}.{BLOCKED}.{BLOCKED}.175/r1.php
• {BLOCKED}.{BLOCKED}.{BLOCKED}.175/r2.php

その他

マルウェアは、以下を実行します。

• It uses WQL to delete shadow copies
• Empty RecycledBin

マルウェアは、以下のパラメータを受け取ります。

• -path -Specify the path to Encrypt
• -mode {option}
• Option can be any of the following:
• full → Encrypts all file
• fast → Encrypts the first 1MB of the file
• split → Encrypts file from a specific offset and requires the -skip parameter to be used.
• -skip → Specify the number of bytes to be skipped during the encryption process.
• -power (restart or shutdown) → Specify actions to be taken after completing the task, either restart or shutdown the system
• -console → Display encryption details
  
• -nomutex → Execute without generating a mutex
• -nonetdrive → Exclude network drive from encryption
• -selfdel → Delete itself after encryption

以下のスケジュールされたタスクを追加します：

• Windows Update Beta

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• ntldr
• ntluser.dat
• bootsect.bak
• ntuser.dat.log
• autorun.inf
• thumbs.db
• iconcache.db
• bootfont.bin
• boot.ini
• desktop.ini
• ntuser.ini
• bootmgr
• BOOTNXT
• CYLANCE_README.txt
• LPW4.tmp
• MSVCR100.dll
• LLKFTP.bmp
• SBOX

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• Windows
• $Windows.~bt
• $windows.~ws
• windows.old
• windows nt
• All Users
• Public
• Boot
• Intel
• Perflogs
• System Volume Information
• MSOCache
• $RECYCLE.BIN
• Default
• Config.Msi
• tor browser
• microsoft
• google
• yandex

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .Cylance

マルウェアが作成する以下のファイルは、脅迫状です。

• CYLANCE_README.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• dll
• exe
• sys
• drv
• efi
• msi
• lnk
• Cylance