Ransom.Win32.LOCKBIT.SMYXCGU

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成し実行します。

• %Program Data%\7O80AqiSH.ico → icon used for encrypted files
• %Program Data%\7O80AqiSH.bmp → image used as wallpaper after encryption
• %Program Data%\E6F6.tmp → Detected as Trojan.Win32.KCALBREPUS.THCAIBE
• {Encrypted Directory}\7O80AqiSH.README.txt

他のシステム変更

マルウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
.7O80AqiSH
{Default} = 7O80AqiSH

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
7O80AqiSH\DefaultIcon
{Default} = %Program Data%\7O80AqiSH.ico

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer
GlobalAssocChangedCounter = 36

マルウェアは、以下のレジストリ値を変更し、デスクトップの壁紙を変更します。

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %Program Data%\7O80AqiSH.bmp

マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。

• %Program Data%\7O80AqiSH.bmp

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• sql.exe
• oracle.exe
• ocssd.exe
• dbsnmp.exe
• synctime.exe
• agntsvc.exe
• isqlplussvc.exe
• xfssvccon.exe
• mydesktopservice.exe
• ocautoupds.exe
• encsvc.exe
• firefox.exe
• tbirdconfig.exe
• mydesktopqos.exe
• ocomm.exe
• dbeng50.exe
• sqbcoreservice.exe
• excel.exe
• infopath.exe
• msaccess.exe
• mspub.exe
• onenote.exe
• outlook.exe
• powerpnt.exe
• steam.exe
• thebat.exe
• thunderbird.exe
• visio.exe
• winword.exe
• wordpad.exe
• notepad.exe
• msexchange.exe

その他

マルウェアは、以下を実行します。

• It encrypts fixed, removable, and network shares
• It uses the Windows Restart Manager API to close processes or shut down Windows services that may be keeping a file open and preventing encryption.
• It empties the recycle bin.
• It changes the file icon of the encrypted files into the following image:
  

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• autorun.inf
• boot.ini
• bootfont.bin
• bootsect.bak
• bootmgr
• bootmgr.efi
• bootmgfw.efi
• desktop.ini
• iconcache.db
• ntldr
• ntuser.dat
• ntuser.dat.log
• ntuser.ini
• thumbs.db
• Program Files
• Program Files (x86)
• #recycle
• 7O80AqiSH

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• AppData
• Boot
• Windows
• Windows.old
• Tor Browser
• Internet Explorer
• Google
• Opera
• Opera Software
• Mozilla
• Mozilla Firefox
• $Recycle.Bin
• ProgramData
• All Users

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .7O80AqiSH

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Directory}\7O80AqiSH.README.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .386
• .adv
• .ani
• .bat
• .bin
• .cab
• .cmd
• .com
• .cpl
• .cur
• .deskthemepack
• .diagcab
• .diagcfg
• .diagpkg
• .dll
• .drv
• .exe
• .hlp
• .icl
• .icns
• .ico
• .ics
• .idx
• .ldf
• .lnk
• .mod
• .mpa
• .msc
• .msp
• .msstyles
• .msu
• .nls
• .nomedia
• .ocx
• .prf
• .ps1
• .rom
• .rtp
• .scr
• .shs
• .spl
• .sys
• .theme
• .themepack
• .wpx
• .lock
• .key
• .hta
• .msi
• .pdb
• .search-ms

<補足>
インストール

マルウェアは、以下のファイルを作成し実行します。

• %Program Data%\7O80AqiSH.ico → 暗号化されたファイルに使用されるアイコン
• %Program Data%\7O80AqiSH.bmp → 暗号化後にコンピュータの壁紙として設定される画像
• %Program Data%\E6F6.tmp → 「Trojan.Win32.KCALBREPUS.THCAIBE」として検出される
• {暗号化されたディレクトリ}\7O80AqiSH.README.txt

その他

マルウェアは、以下を実行します。

• 固定ドライブ、リムーバブルドライブ、ネットワーク上の共有ドライブを暗号化します。
• Windows Restart ManagerAPIを使用して、ファイルを開いたままにして暗号化を妨げている可能性のあるプロセスを閉じたり、Windowsのサービスを停止させたりします。
• ごみ箱を空にします。
• 暗号化されたファイルのアイコンを以下の画像に変更します。