Ransom.Win32.Exorcist.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• wmic.exe SHADOWCOPY DELETE /nointeractive
• wbadmin DELETE SYSTEMSTATEBACKUP
• wbadmin DELETE SYSTEMSTATEBACKUP -deleteOldest
• bcdedit.exe /set {default} recoveryenabled No
• bcdedit.exe /set {default} bootstatuspolicy ignoreallfailures
• vssadmin.exe Delete Shadows /All /Quiet
• C:\Windows\system32\vssvc.exe

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• KgexAmqjYXQWQuk2Zaoqci0hs9jr77UsuVmF751

他のシステム変更

マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。

プロセスの終了

マルウェアは、感染コンピュータ上でプロセスが常駐されていることを確認した場合、以下のいずれかの文字列を含むプロセスまたはサービスを終了します。

• MSSQL$MICROSOFT##WID*
• wxServer*
• wxServerView*
• sqlmangr*
• RAgui*
• supervise*
• Culture*
• Defwatch*
• winword*
• QBW32*
• QBDBMgr*
• qbupdate*
• axlbridge*
• httpd*
• fdlauncher*
• MsDtSrvr*
• java*
• 360se*
• 360doctor*
• wdswfsafe*
• fdhost*
• GDscan*
• ZhuDongFangYu*
• QBDBMgrN*
• mysqld*
• AutodeskDesktopApp*
• acwebbrowser*
• Creative Cloud*
• Adobe Desktop Service*
• CoreSync*
• Adobe CEF Helper*
• node*
• AdobeIPCBroker*
• sync-taskbar*
• sync-worker*
• InputPersonalization*
• AdobeCollabSync*
• BrCtrlCntr*
• BrCcUxSys*
• SimplyConnectionManager*
• Simply.SystemTrayIcon*
• fbguard*
• fbserver*
• ONENOTEM*
• wrapper*
• DefWatch*
• ccEvtMgr*
• ccSetMgr*
• SavRoam*
• Sqlservr*
• sqlagent*
• sqladhlp*
• Culserver*
• RTVscan*
• sqlbrowser*
• SQLADHLP*
• QBIDPService*
• Intuit.QuickBooks.FCS*
• QBCFMonitorService*
• sqlwriter*
• msmdsrv*
• tomcat6*
• zhudongfangyu*
• vmware-usbarbitator64*
• vmware-converter*
• dbsrv12*
• dbeng8*
• MSSQL$VEEAMSQL2012*
• SQLAgent$VEEAMSQL2012*
• SQLBrowser*
• SQLWriter*
• FishbowlMySQL*
• MySQL57*
• MSSQL$KAV_CS_ADMIN_KIT*
• MSSQLServerADHelper100*
• SQLAgent$KAV_CS_ADMIN_KIT*
• msftesql-Exchange*
• MSSQL$MICROSOFT##SSEE*
• MSSQL$SBSMONITORING*
• MSSQL$SHAREPOINT*
• MSSQLFDLauncher$SBSMONITORING*
• MSSQLFDLauncher$SHAREPOINT*
• SQLAgent$SBSMONITORING*
• SQLAgent$SHAREPOINT*
• QBFCService*
• QBVSS*

情報漏えい

マルウェアは、以下の情報を収集します。

• User ID
• Build ID
• Appended Extension
• OS Version
• User Name
• Computer Name
• RSA Key
• Local Information
• Is user admin
• Is system a server
• Does system have ru keys
• OS Architecture

情報収集

マルウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• {BLOCKED}.{BLOCKED}.117.26:80

その他

マルウェアは、以下を実行します。

• It will not perform its ransomware routine if the geolocation of affected system is any of the following:
  • russian
  • armenian
  • belarusian
  • georgian
  • kazakh
  • tajik
  • turkmen
  • ukrainian
  • uzbek
  • azerbaijani
• Executes the following command if the above condition is satisfied:
  • """%system%\cmd.exe"" /C timeout /T 15 /NOBREAK && del ""{Malware Directory}\{Malware Name}.exe"" /F"

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• C:\autoexec.bat
• \bootfont.bin
• \boot.ini
• \desktop.ini
• \iconcache.db
• \ntldr
• \thumbs.db
• \bootsect.bak
• \bootmgr
• \ntuser.ini
• \autorun.inf

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• C:\$Recycle.Bin\
• \$windows.~bt\
• \intel\
• \msocache\
• \$recycle.bin\
• \$windows.~ws\
• \tor browser\
• \boot\
• \windows\
• \windows nt\
• \msbuild\
• \microsoft\
• \all users\
• \system volume information\
• \google\
• \windows.old\
• \mozilla\
• \appdata\local\
• \appdata\locallow\
• \appdata\roaming\
• \programdata\
• \perflogs\
• \program files\
• \program files (x86)\

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .{6 random characters}

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Directory}\{6 Random Characters}-decrypt.hta
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .exe
• .dll
• .sys
• .hta
• .386
• .cmd
• .ani
• .adv
• .theme
• .themepack
• .deskthemepack
• .nomedia
• .msi
• .msp
• .com
• .diagpkg
• .nls
• .diagcab
• .lock
• .ocx
• .mpa
• .cpl
• .mod
• .icns
• .prf
• .rtp
• .diagcfg
• .msstyles
• .rdp
• .bin
• .hlp
• .shs
• .drv
• .wpx
• .bat
• .rom
• .msc
• .spl
• .ps1
• .msu
• .ics
• .key
• .lnk
• .ico
• .cur
• .idx
• .ini
• .reg