Ransom.Win32.CONTI.FAIL

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\IXP{3 Digit Number}.TMP\Convulsa.aif → Encoded Autoit Script
• %User Temp%\IXP{3 Digit Number}.TMP\Mantenere.mp3 → Encoded Batch Script
• %User Temp%\IXP{3 Digit Number}.TMP\Qua.vob → Encoded Conti Executable
• %User Temp%\IXP{3 Digit Number}.TMP\Seduce.pdf → Incomplete AutoIt.exe
• %User Temp%\IXP{3 Digit Number}.TMP\Pel.wks → Decoded Batch Script
• %User Temp%\IXP{3 Digit Number}.TMP\fontdrvhost.com → Fixed AutoIt.exe
• %User Temp%\IXP{3 Digit Number}.TMP\u → Decoded AutoIt Script
• {Malware Path}\{Filename from -log argument} → If -log argument is used

マルウェアは、以下のプロセスを追加します。

• %System%\cmd.exe /c kWdQZqX
• %System%\cmd.exe /c certutil -decode Mantenere.mp3 Pel.wks & cmd < Pel.wks
• fontdrvhost.com
• findstr /V /R "^bvkNtqCXyvaCYObJkczHScDjeUGQ$" Seduce.pdf >> fontdrvhost.com
• certutil -decode Convulsa.aif u
• start fontdrvhost.com u
• ping 127.0.0.1 -n 30
• %User Temp%\IXP{3 Digit Number}.TMP\fontdrvhost.com
• %System%\cmd.exe /c %System%\wbem\WMIC.exe shadowcopy where "ID={Shadowcopy ID}" delete → It will repeat this process depending on the number of shadow copies.

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• hsfjuukjzloqu28oajh727190

マルウェアは、以下のプロセスにコードを組み込みます。

• %User Temp%\IXP{3 Digit Number}.TMP\fontdrvhost.com

その他

マルウェアは、以下を実行します。

• It uses the Windows Restart Manager to unlock files it will encrypt.
• It checks the connection to the following Domain Names using the command ping -n {Domain Name} and will terminate if the connection was succesful:
  • {BLOCKED}VjZNprwTYLlzMTM.YcaRetVjZNprwTYLlzMTM
  • {BLOCKED}P.tKeDLKP

マルウェアは、以下のいずれかのコンピュータ名が感染コンピュータで確認される場合、自身を終了します。

• DESKTOP-QO5QU33
• NfZtFbPfH
• ELICZ
• MAIN
• tz

マルウェアは、以下のパラメータを受け取ります。

• -p {Path of Folder to Encrypt} - Will encrypt first the folders in the list before proceeding to the others
• -log {Log Filename with Path} - Log output to {Log Filename with Path}
• -nomutex - Creates no mutex allowing multiple process
• -m {all|local|net|backups}
  • all - combination of net and local
  • local - delete backups and encrypt only locally found drives
  • net - delete backups and encrypt only network shares
  • backups - delete backups
• -size {chunk mode}

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• readme.txt
• CONTI_LOG.txt

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• tmp
• winnt
• temp
• thumb
• $Recycle.Bin
• $RECYCLE.BIN
• System Volume Information
• Boot
• Windows
• Trend Micro
• Perflogs

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .CVKVA

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Directory}\readme.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .CVKVA
• .bat
• .exe
• .dll
• .lnk
• .sys
• .msi