Ransom.Win32.DEADLOCK.THLABBE

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• {8 random uppercase letters}.cmd → deleted afterwards
• %Program Data%\F8C6A8.ico → icon of the encrypted files
• %Program Data%\F8C6A8.bmp → desktop wallpaper after encryption

マルウェアは、以下のプロセスを追加します。

• chcp 65001
• cmd /c "{malware directory}\{8 random uppercase letters}.cmd"

他のシステム変更

マルウェアは、以下のファイルを削除します。

• {8 ransom uppercase letters}.cmd

マルウェアは、以下のレジストリ値を変更し、デスクトップの壁紙を変更します。

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper data = %ProgramData%\F8C6A8.bmp

マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。

プロセスの終了

マルウェアは、感染コンピュータ上で確認した以下のサービスを終了します。

• applicationframehost
• certsrv
• cmd
• conhost
• csrss
• ctfmon
• dashost
• dfsrs
• dfssvc
• dllhost
• dns
• dropbox
• dwm
• explorer
• fontdrvhost
• idle
• ismserv
• logonui
• lsaiso
• lsass
• lsm
• microsoft.activedirectory.webservices
• msdtc
• msmpeng
• mstsc
• nissrv
• onedrive
• openconsole
• powershell
• rdpclip
• registry
• rundll32
• runtimebroker
• rustdesk
• searchapp
• searchfilterhost
• searchindexer
• searchprotocolhost
• searchui
• securityhealthservice
• services
• shellexperiencehost
• sihost
• smartscreen
• smss
• spoolsv
• svchost
• svhost
• system
• taskhostw
• taskmgr
• trustedinstaller
• vds
• vmcompute
• vmms
• vmwp
• vssvc
• windowsterminal
• wininit
• winlogon
• wlanext
• wmiprvse
• wudfhost
• wwahost
• anydesk|wrapper
• DefWatch
• ccEvtMgr
• ccSetMgr
• SavRoam
• Sqlservr
• sqlagent
• sqladhlp
• Culserver
• RTVscan
• sqlbrowser
• SQLADHLP
• QBIDPService
• Intuit.QuickBooks.FCS
• QBCFMonitorService
• msmdsrv
• tomcat6
• zhudongfangyu
• vmware-usbarbitator64h
• vmwareconverter
• dbsrv12
• dbeng8
• MSSQL$MICROSOFT##WID
• MSSQL$VEEAMSQL2012
• SQLAgent$VEEAMSQL2012
• SQLBrowser
• SQLWriter
• FishbowlMySQL
• MSSQL$MICROSOFT##WID
• MySQL57
• MSSQL$KAV_CS_ADMIN_KIT
• MSSQLServerADHelper100
• SQLAgent$KAV_CS_ADMIN_KIT
• msftesqlExchange
• MSSQL$MICROSOFT##SSEE
• MSSQL$SBSMONITORING
• MSSQL$SHAREPOINT
• MSSQLFDLauncher$SBSMONITORING
• MSSQLFDLauncher$SHAREPOINT
• SQLAgent$SBSMONITORING
• SQLAgent$SHAREPOINT
• QBFCService
• QBVSS
• YooBackup
• YooIT
• vss
• sql
• svc$
• MSSQL
• MSSQL$
• memtas
• mepocs
• veeam
• backup
• bedbg
• PDVFSService
• BackupExecVSSProvider
• BackupExecAgentAccelerator
• BackupExecAgentBrowser
• BackupExecDiveciMediaService
• BackupExecJobEngine
• BackupExecManagementService
• BackupExecRPCService
• MVArmor
• MVarmor64
• stc_raw_agent
• VSNAPVSS
• VeeamTransportSvc
• VeeamDeploymentService
• VeeamNFSSvc
• AcronisAgent
• ARSM
• AcrSch2Svc
• CASAD2DWebSvc
• CAARCUpdateSvc
• WSBExchange
• MSExchange
• MSExchange$

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• taskhost.exe
• explorer.exe
• VMwareTray.exe
• smtoolsd.exe
• GrooveMonitor.exe
• svchost.exe
• SearchIndexer.exe
• sysmon.exe
• unsecapp.exe
• vdisk.exe
• WUDFHost.exe
• procmon.exe
• SysTracerx32.exe
• TcpLogView.exe
• ProcessHacker.exe
• Fiddler.exe
• conhost.exe
• msdtc.exe
• sublime_text.exe
• plugin_host.exe
• powershell.exe
• smss.exe
• csrss.exe
• wininit.exe
• winlogon.exe
• spoolsv.exe
• services.exe
• lsass.exe
• vserver.exe
• OllyDbg.exe

その他

マルウェアは、以下を実行します。

• It changes the file icon of the encrypted files into the following image:
  
  

ランサムウェアの不正活動

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• $Recycle.Bin
• Windows
• System Volume Information
• Program Files
• Users\All Users
• Program Data
• $Windows.~BT
• $Windows.~WS
• Config.MSI

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .F8C6A8.dlock

マルウェアが作成する以下のファイルは、脅迫状です。

• {encrypted directory}\Read Me.F8C6A8.txt
  
  
• F:\Read Me.F8C6A8.txt

以下のファイル拡張子を持つファイルについては暗号化しません：

• .386
• .adv
• .ani
• .bat
• .bin
• .cab
• .cmd
• .com
• .cpl
• .cur
• .deskthemepack
• .diagcab
• .diagcfg
• .diagpkg
• .dll
• .drv
• .exe
• .hlp
• .hta
• .icl
• .icns
• .ico
• .ics
• .idx
• .key
• .ldf
• .lnk
• .loc
• .mod
• .mpa
• .msc
• .msi
• .msp
• .msstyles
• .msu
• .nls
• .nomedia
• .ocx
• .pdb
• .prf
• .ps1
• .rom
• .rtp
• .scr
• .search-ms
• .shs
• .spl
• .sys
• .theme
• .themepack
• .wpx