Ransom.Win32.LOCKBIT.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• vssadmin delete shadows /all /quiet
• wmic shadowcopy delete
• bcdedit /set {default} bootstatuspolicy ignoreallfailures
• bcdedit /set {default} recoveryenabled no
• wbadmin delete catalog -quiet

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\{BEF590BE-11A6-442A-A85B-656C1081E04C}

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
XO1XADpO01 = "{drive letter of original full filepath}"

HKEY_CURRENT_USER\Software\LockBit
full = {hex value}

HKEY_CURRENT_USER\Software\LockBit
Public = {hex value}

プロセスの終了

マルウェアは、感染コンピュータ上で確認した以下のサービスを終了します。

• wrapper
• DefWatch
• ccEvtMgr
• ccSetMgr
• SavRoam
• Sqlservr
• sqlagent
• sqladhlp
• Culserver
• RTVscan
• sqlbrowser
• SQLADHLP
• QBIDPService
• Intuit.QuickBooks.FCS
• QBCFMonitorService
• sqlwriter
• msmdsrv
• tomcat6
• zhudongfangyu
• vmware-usbarbitator64
• vmware-converter
• dbsrv12
• dbeng8
• MSSQL$MICROSOFT##WID
• MSSQL$VEEAMSQL2012
• SQLAgent$VEEAMSQL2012
• SQLBrowser
• SQLWriter
• FishbowlMySQL
• MSSQL$MICROSOFT##WID
• MySQL57
• MSSQL$KAV_CS_ADMIN_KIT
• MSSQLServerADHelper100
• SQLAgent$KAV_CS_ADMIN_KIT
• msftesql-Exchange
• MSSQL$MICROSOFT##SSEE
• MSSQL$SBSMONITORING
• MSSQL$SHAREPOINT
• MSSQLFDLauncher$SBSMONITORING
• MSSQLFDLauncher$SHAREPOINT
• SQLAgent$SBSMONITORING
• SQLAgent$SHAREPOINT
• QBFCService
• QBVSS

その他

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\LockBit

マルウェアは、以下を実行します。

• Terminates itself if system's language is set to:
  • Armenian
  • Azerbaijani (Cyrillic)
  • Azerbaijani (Latin)
  • Belarusian
  • Georgian
  • Kazakh
  • Kyrgyz
  • Russian
  • Russian (Maldova)
  • Taijik (Cyrillic)
  • Turkmen
  • Turkmen
  • Ukrainian
  • Uzbek (Cyrillic)
  • Uzbek (Latin)

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• ntldr
• ntuser.dat.log
• bootsect.bak
• autorun.inf
• Restore-My-Files.txt

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• $windows.~bt
• intel
• msocache
• $recycle.bin
• $windows.~ws
• tor browser
• boot
• system volume information
• perflogs
• google
• application data
• windows
• windows.old
• appdata
• Windows nt
• Msbuild
• Microsoft
• All users
• mozilla

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .lockbit

マルウェアは、以下の内容を含む脅迫状のテキストファイルを残します。

• {Encrypted Directory}\Restore-My-Files.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .386
• .adv
• .ani
• .bat
• .bin
• .cmd
• .com
• .cpl
• .diagcab
• .diagcfg
• .diagpkg
• .dll
• .drv
• .exe
• .hlp
• .hlp
• .hta
• .icns
• .ico
• .ics
• .idx
• .ini
• .key
• .lnk
• .lock
• .mod
• .mp3
• .mpa
• .msc
• .msi
• .msp
• .msstyles
• .msu
• .nls
• .ocx
• .prf
• .ps1
• .rdp
• .reg
• .rom
• .rtp
• .shs
• .spl
• .sys
• .theme
• .wpx