Ransom.Win32.DOPPELPAYMER.AC

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、バックドア活動の機能を備えていません。

マルウェアは、実行後、自身を削除します。

マルウェアは、情報収集する機能を備えていません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Application Data%\{Random Name} - dropped copy of itself
• When ran with administrator privileges:
  • %Application Data%\{Random}\{Dll Name from %System% directory}.dll - used to hijack processhacker via DLL side-loading and communicate with main malware process to terminate processes/services
  • %Application Data%\{Random}\{Random Name 1} - detected as PUA.Win32.ProcHack.C
  • %Application Data%\{Random}\{Random Name 2} - detected as PUA.Win32.ProcHack.B.component
  • %System%\GroupPolicy\gpt.ini
• When ran without administrator privileges:
  • %Application Data%\{Random Name}\{Random Name}.exe - dropped copy of itself

マルウェアは、以下のプロセスを追加します。

• %Application Data%\{Random Name} {argument to execute} {Malware Filename}
• When ran with administrative privileges:
  • %System%\bcedit.exe /set {default} safeboot minimal
  • %System%\bcedit.exe /set default recoveryenabled no
  • %System%\vssadmin.exe Delete Shadows /All /Quiet - delete shadow copy
  • %Application Data%\{Random}\{Random Name 1} {Random Name 2} 1337039642
• When ran without administrative privileges:
  • %System%\icacls.exe "{Folder Path}" /grant:r Everyone:F /t /c /q - grant permission to access the directory specified in {Folder Path}

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{Random} = %Application Data%\{Random Name}\{Random Name}.exe

他のシステム変更

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
LegalNoticeCaption = Your network was hacked. Your ID: {ID}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
LegalNoticeText = Your network was hacked. Your ID: {ID} DO NOT RESET OR SHUTDOWN your PC or server. DO NOT RENAME/ MOVE/ DELETE the encrypted and readme files. Info: http://{BLOCKED}kyd.onion/order/{BLOCKED} {BLOCKED}@protonmail.com If you decide not to cooperate your sensitive data will be shared to public at http://{BLOCKED}6qnwad.onion and all the rest will remain unreachable to you.

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、バックドア活動の機能を備えていません。

ルートキット機能

マルウェアは、ルートキット機能を備えていません。

アドウェア活動

マルウェアは、実行後、自身を削除します。

情報漏えい

マルウェアは、情報収集する機能を備えていません。

その他

マルウェアは、以下を実行します。

• When ran with administrator privileges, it will do the following:
  • It tries to look for services running in the machine and tries to disable some of them. Below are some of the services it tries to disable:
    • NetMsmqActivator
    • SDRSVC
    • SstpSvc
    • StorSvc
    • swprv
    • wbengine
    • UI0Detect
  • Based on the services it tries to look for in the machine, it will try to take ownership of this service using the following command:
    • %System%\takeown.exe /F %System%\{file name}.exe
    • %System%\icacls.exe %System%\{file name}.exe /reset
    • It will then rename the original file name to {file name}.exe-0, and replace the original file with its copy.
  • It renames the following file when found in the machine:
    • %Windows%\Microsoft.NET\Framework64\v4.0.30319\SMSvcHost.exe renamed to %Windows%\Microsoft.NET\Framework64\v4.0.30319\SMSvcHost.exe_
• When ran without administrator privileges, it will do the following:
  • It will only install its autorun registry when ran without administrative privileges
• It requires to be executed with a specific argument in order to proceed with its malicious routine. It is also used to determine additional functionalities of the sample.
• It uses the following information to generate random characters for the file name it will drop:
  • Computer Name
• It enumerates registry keys to gather system information
• It will encrypt files found in the following set of drives in the affected system:
  • Network Drives
  • Fixed Drives
  • Removable Drives
• It uses the following set of commands to gather the network drives connected to the system and connect to the following network drives to encrypt it's files:
  • %System%\net.exe view igmp.mcast.net
  • %System%\arp.exe -a
  • %System%\nslookup.exe {IP address}

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、脆弱性を利用した感染活動を行いません。

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• *.chm
• *.CHM
• *.cmd
• *.CMD
• *.hlf
• *.HLF
• *.ico
• *.ICO
• *.inf
• *.INF
• *.ini
• *.INI
• *.lng
• *.LNG
• *.lnk
• *.LNK
• *.msi
• *.MSI
• *.sys
• *.SYS
• *.ttf
• *.TTF
• default.rdp
• NTUSER.DA*
• RacWmi*.sdf
• schre*.bat
• svsho*.exe
• V01.ch*
• V01.lo*
• V01res*.jrs
• Web*V01.dat

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• $RECYCLE.BIN
• $Recycle.Bin
• Caches
• System Volume Information
• VirtualStore
• WebCache

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .doppeled

注意：

• マルウェアは、コンピュータをセーフモードで再起動し、ユーザがログインできないようにします。
  

マルウェアが作成する以下のファイルは、脅迫状です。

• {暗号化されたファイル名}.how2decrypt.txt
  

＜補足＞
インストール

マルウェアは、以下のファイルを作成します。

• %Application Data%\{ランダムな名前} → 作成された自身のコピー
• 管理者権限ありで実行された場合：
  • %Application Data%\{ランダム}\{%System%ディレクトリからのDll名}.dll
  • %Application Data%\{ランダム}\{ランダムな名前1} → 「PUA.Win32.ProcHack.C」として検出
  • %Application Data%\{ランダム}\{ランダムな名前2} →「PUA.Win32.ProcHack.B.component」として検出
  • %System%\GroupPolicy\gpt.ini
• 管理者権限なしで実行された場合：
  • %Application Data%\{ランダムな名前}\{ランダムな名前}.exe → 作成された自身のコピー

マルウェアは、以下のプロセスを追加します。

• %Application Data%\{ランダムな名前} {実行する引数} {マルウェアのファイル名}
• 管理者権限ありで実行された場合：
  • %System%\bcedit.exe /set {デフォルト} safeboot minimal
  • %System%\bcedit.exe /set default recoveryenabled no
  • %System%\vssadmin.exe Delete Shadows /All /Quiet → シャドウコピーの削除
  • %Application Data%\{ランダム}\{ランダムな名前1} {ランダムな名前2} 1337039642
• 管理者権限なしで実行された場合：
  • %System%\icacls.exe "{フォルダパス}" /grant:r Everyone:F /t /c /q → {フォルダパス}内の特定のディレクトリへのアクセス権の付与

  その他

  マルウェアは、以下を実行します。

  • 管理者権限ありで実行された場合、マルウェアは以下を実行します。
    • マルウェアは、コンピュータ上で実行中のサービスを検索するため、サービスの一部を無効化します。 以下は、マルウェアが無効化するサービスの一部です。
      • NetMsmqActivator
      • SDRSVC
      • SstpSvc
      • StorSvc
      • swprv
      • wbengine
      • UI0Detect
    • コンピュータ内で検索するサービスに基づいて、以下のコマンドを使用してサービスの所有権を取得しようと試みます。
      • %System%\takeown.exe /F %System%\{ファイル名}.exe
      • %System%\icacls.exe %System%\{ファイル名}.exe /reset
      • その後、マルウェアは、元のファイル名を＜{ファイル名}.exe-0＞に改称して、元のファイルを自身のコピーと置き換えます。
    • マルウェアは、以下のファイルがコンピュータ内で確認された場合、改称します。
      • %Windows%\Microsoft.NET\Framework64\v4.0.30319\SMSvcHost.exeは、%Windows%\Microsoft.NET\Framework64\v4.0.30319\SMSvcHost.exe_に改称されます。
  • 管理者権限なしで実行された場合、マルウェアは、以下を実行します。
    • マルウェアは、管理者権限なしで実行された場合のみ、自動実行されるようレジストリをインストールします。
  • マルウェアが不正活動を実行するには、特定の引数を指定して実行される必要があります。 また、この引数は、マルウェアの追加機能を決定するためにも使用されます。
  • マルウェアは、以下の情報を使用して、作成するファイル名にランダムな文字を生成します。
    • コンピュータ名
  • マルウェアは、システム情報を収集するためにレジストリキーを列挙します。
  • マルウェアは、感染コンピュータ内の以下のドライブセット内に存在するファイルを暗号化します。
    • ネットワークドライブ
    • 固定ドライブ
    • リムーバブルドライブ
  • マルウェアは、以下の一連のコマンドを使用して、コンピュータに接続されているネットワークドライブを収集します。そして、以下のネットワークドライブに接続してファイルを暗号化します。
    • %System%\net.exe view igmp.mcast.net
    • %System%\arp.exe -a
    • %System%\nslookup.exe {IPアドレス}