Ransom.Win32.GRIEF.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• vssadmin.exe Delete Shadows /All /Quiet
• bcdedit.exe /set {default} safeboot minimal
• bcdedit.exe /set {default} recoveryenabled No
• %System%\icacls.exe ":\*" /grant:r Everyone:F /t /c /q -> grant access to the drives it encrypts

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
LegalNoticeCaption = We made you. P0G-{number}

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
LegalNoticeText =

プロセスの終了

マルウェアは、感染コンピュータ上でプロセスが常駐されていることを確認した場合、以下のいずれかの文字列を含むプロセスまたはサービスを終了します。

• sqlagent
• sophos

その他

マルウェアは、以下を実行します。

• It expects itself to be executed as a service
• It installs itself as a service through modifying a service's ImagePath to point to itself and execute it along with its correct argument
• In these particular samples, there is currently no way to terminate processes. The embedded Process Hacker is not included in the ransomware samples, and it does not enumerate running processes
• It removes connections to network shared resources
• It requires a specific argument in order for it to proceed to its malicious routine
• It changes the password of every user to the following:
  • JaR99"Zd!51E4ECAE7509C3130AC4D2AD949E171F
• It initiates a system reboot after its installation

ランサムウェアの不正活動

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• svsho*.exe
• schre*.bat
• V01.lo*
• V01.ch*
• V01res*.jrs
• RacWmi*.sdf
• Web*V01.dat
• default.rdp
• NTUSER.DA*
• *.lnk
• *.ico
• *.ini
• *.msi
• *.chm
• *.sys
• *.hlf
• *.lng
• *.inf
• *.ttf
• *.cmd
• *.LNK
• *.ICO
• *.INI
• *.MSI
• *.CHM
• *.SYS
• *.HLF
• *.LNG
• *.INF
• *.TTF
• *.CMD

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• $RECYCLE.BIN
• $Recycle.Bin
• Caches
• WebCache
• VirtualStore

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .payorgrief

マルウェアが作成する以下のファイルは、脅迫状です。

• {encrypted file name}.helpme.html - drops it for every file it encrypts