Ransom.Win32.CLOP.E

マルウェアは、脅迫状のファイルを作成します。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• {Malware Path}\systempdisk_11_23_556_6.bat

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• HappyLife^_-

自動実行方法

マルウェアは、以下のサービスを開始します。

• Service Name: TaskNetProcess
  Service Type: 16

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• mysqld-opt.exe
• xfssvccon.exe
• thebat.exe
• ocautoupds.exe
• wordpad.exe
• mysqld-nt.exe
• thebat64.exe
• excel.exe
• thunderbird.exe
• agntsvc.exeagntsvc.exe
• zoolz.exe
• msaccess.exe
• sqlwriter.exe
• WINWORD.EXE
• THEBAT.EXE
• VISIO.EXE
• MSFTESQL.EXE
• ORACLE.EXE
• MYDESKTOPQOS.EXE

その他

マルウェアは、以下を実行します。

• This Ransomware will delete itself:
  • If the keyboard layout is any of the following:
    • Georgian
    • Russian
    • Tajik
    • Belarusian
    • Armenian
    • Azeri
    • Kazak
    • Kyrgyz
  • If the default language ID is as follows:
    • Russian
• It will drop and execute "{Malware Path}\systempdisk_11_23_556_6.bat" if the following processes are not found:
  • SBAMSvc.exe
  • VipreAAPSvc.exe
  • SBAMTray.exe
  • SBPIMSvc.exe
  • WRSA.exe
• Executes the following commands to edit the boot configuration data file
  • bcdedit /set {default} recoveryenabled No
  • bcdedit /set {default} bootstatuspolicy ignoreallfailures
• Executes the following commands to delete and resize the shadow copies:
  • vssadmin resize shadowstorage /for=h: /on=h: /maxsize=401MB
  • vssadmin resize shadowstorage /for=h: /on=h: /maxsize=unbounded
  • vssadmin Delete Shadows /all /quiet
• It encrypts all files except the following:
  • .Clop
  • Clopreadme.txt
  • ntldr
  • NTLDR
  • boot.ini
  • BOOT.INI
  • ntuser.ini
  • NTUSER.INI
  • AUTOEXEC.BAT
  • autoexec.bat
  • NTDETECT.COM
  • ntdetect.com
  • .dll
  • .DLL
  • .exe
  • .EXE
  • .sys
  • .SYS
  • .OCX
  • .ocx
  • .LNK
  • .lnk
  • desktop.ini
  • autorun.inf
  • ntuser.dat
  • iconcache.db
  • bootsect.bak
  • ntuser.dat.log
  • thumbs.db
  • DESKTOP.INI
  • AUTORUN.INF
  • NTUSER.DAT
  • ICONCACHE.DB
  • bootsect.bak
  • NTUSER.DAT.LOG
  • THUMBS.DB
• It encrypts files which can be found in the following locations:
  • Removable Drives
  • Fixed Drives
  • Shared Drives
• the batch file "{Malware Path}\systempdisk_11_23_556_6.bat" contains the following strings:
  • @echo off
    vssadmin Delete Shadows /all /quiet
    vssadmin resize shadowstorage /for=c: /on=c: /maxsize=401MB
    vssadmin resize shadowstorage /for=c: /on=c: /maxsize=unbounded
    vssadmin resize shadowstorage /for=d: /on=d: /maxsize=401MB
    vssadmin resize shadowstorage /for=d: /on=d: /maxsize=unbounded
    vssadmin resize shadowstorage /for=e: /on=e: /maxsize=401MB
    vssadmin resize shadowstorage /for=e: /on=e: /maxsize=unbounded
    vssadmin resize shadowstorage /for=f: /on=f: /maxsize=401MB
    vssadmin resize shadowstorage /for=f: /on=f: /maxsize=unbounded
    vssadmin resize shadowstorage /for=g: /on=g: /maxsize=401MB
    vssadmin resize shadowstorage /for=g: /on=g: /maxsize=unbounded
    vssadmin resize shadowstorage /for=h: /on=h: /maxsize=401MB
    vssadmin resize shadowstorage /for=h: /on=h: /maxsize=unbounded
    vssadmin Delete Shadows /all /quiet
    bcdedit /set {default} recoveryenabled No
    bcdedit /set {default} bootstatuspolicy ignoreallfailures

ランサムウェアの不正活動

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• {file name}.{file extension}.Clop

マルウェアが作成する以下のファイルは、脅迫状です。

<補足>
その他

マルウェアは、以下のいずれかを確認した場合、自身を削除します。

• キーボードレイアウトが以下のいずれかの場合
  • グルジア語
  • ロシア語
  • タジク語
  • ベラルーシ語
  • アルメニア語
  • アゼリー語
  • カザフ語
  • キルギス語
• デフォルトの言語IDが以下の場合
  • Russian

マルウェアは、以下のプロセスが確認できない場合、"{Malware Path}\systempdisk_11_23_556_6.bat"を作成して実行します。

• SBAMSvc.exe
• VipreAAPSvc.exe
• SBAMTray.exe
• SBPIMSvc.exe
• WRSA.exe

マルウェアは、以下のコマンドを実行してブート設定データファイルを編集します。

• bcdedit /set {default} recoveryenabled No
• bcdedit /set {default} bootstatuspolicy ignoreallfailures

マルウェアは、以下のコマンドを実行してシャドウコピーの削除およびサイズ変更を行います。

• vssadmin resize shadowstorage /for=h: /on=h: /maxsize=401MB
• vssadmin resize shadowstorage /for=h: /on=h: /maxsize=unbounded
• vssadmin Delete Shadows /all /quiet

マルウェアは、以下を除くすべてのファイルを暗号化します。

• .Clop
• Clopreadme.txt
• ntldr
• NTLDR
• boot.ini
• BOOT.INI
• ntuser.ini
• NTUSER.INI
• AUTOEXEC.BAT
• autoexec.bat
• NTDETECT.COM
• ntdetect.com
• .dll
• .DLL
• .exe
• .EXE
• .sys
• .SYS
• .OCX
• .ocx
• .LNK
• .lnk
• desktop.ini
• autorun.inf
• ntuser.dat
• iconcache.db
• bootsect.bak
• ntuser.dat.log
• thumbs.db
• DESKTOP.INI
• AUTORUN.INF
• NTUSER.DAT
• ICONCACHE.DB
• bootsect.bak
• NTUSER.DAT.LOG
• THUMBS.DB

マルウェアは、以下のドライブ内のファイルを暗号化します。

• リムーバブルドライブ
• 固定ドライブ
• 共有ドライブ

バッチファイル "{Malware Path}\systempdisk_11_23_556_6.bat" には、以下の文字列が含まれています。

• @echo off
  vssadmin Delete Shadows /all /quiet
  vssadmin resize shadowstorage /for=c: /on=c: /maxsize=401MB
  vssadmin resize shadowstorage /for=c: /on=c: /maxsize=unbounded
  vssadmin resize shadowstorage /for=d: /on=d: /maxsize=401MB
  vssadmin resize shadowstorage /for=d: /on=d: /maxsize=unbounded
  vssadmin resize shadowstorage /for=e: /on=e: /maxsize=401MB
  vssadmin resize shadowstorage /for=e: /on=e: /maxsize=unbounded
  vssadmin resize shadowstorage /for=f: /on=f: /maxsize=401MB
  vssadmin resize shadowstorage /for=f: /on=f: /maxsize=unbounded
  vssadmin resize shadowstorage /for=g: /on=g: /maxsize=401MB
  vssadmin resize shadowstorage /for=g: /on=g: /maxsize=unbounded
  vssadmin resize shadowstorage /for=h: /on=h: /maxsize=401MB
  vssadmin resize shadowstorage /for=h: /on=h: /maxsize=unbounded
  vssadmin Delete Shadows /all /quiet
  bcdedit /set {default} recoveryenabled No
  bcdedit /set {default} bootstatuspolicy ignoreallfailures