Ransom.Win32.RAGNAR.YPAI-B

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• wmic.exe shadowcopy delete
• bcdedit /set{default} recoveryenabled No
• bcdedit /set{default}bootsatuspolicy IgnoreAllFailures
• bcdedit /set{globalsettings} advancedoptions false

プロセスの終了

マルウェアは、感染コンピュータ上でプロセスが常駐されていることを確認した場合、以下のいずれかの文字列を含むプロセスまたはサービスを終了します。

• vss
• sql
• memtas
• mepocs
• sophos
• veeam
• backup
• pulseway
• logme
• logmein
• connectwise
• splashtop
• wuauserv
• oracle
• ocssd
• dbsnmp
• synctime
• agntsvc
• isqlplussvc
• sfssvccon
• mydesktopservice
• ocautoupds
• encsvc
• firefox
• tbirdconfig
• mydesktopqos
• ocomm
• dbeng50
• sqbcoreservice
• excel
• infopath
• msaccess
• mspub
• onenote
• outlook
• powerpnt
• steam
• thebat
• thunderbird
• visio
• winword
• wordpad

その他

マルウェアは、以下を実行します。

• It checks for the computer's language and terminates itself if any the following language is detected:
  • Azerbaijani
  • Armenian
  • Belorussian
  • Kazakh
  • Kyrgyz
  • Moldavian
  • Tajik
  • Russian
  • Turkmen
  • Uzbek
  • Ukrainian
  • Georgian
• It accepts the following parameters:
  • -backup -> deletes shadow copies only
  • -list {Text File} -> deletes shadow copies and encrypts only the directories indicated on the text file
  • -force {Path} -> deletes shadow copies and encrypts only the path provided
  • -vm -> deletes shadow copies and encrypts the whole machine avoiding files,folders and file extensions stated below
  • -vmback -> deletes shadow copies and encrypts the whole machine avoiding files and file extensions stated below
  • -share_network -> deletes shadow copies and encrypts the whole machine without avoiding anything

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• !!!_READ_ME_{8 characters based on computer name}_!!!.txt
• autorun.inf
• boot.ini
• bootfont.bin
• bootsect.bak
• bootmgr
• bootmgr.efi
• desktop.ini
• iconcache.db
• ntldr
• ntuser.dat
• ntuser.dat.log
• thumbs.db

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• Windows
• Windows.old
• Tor browser
• Internet Explorer
• Google
• Opera
• Opera Software
• Mozilla
• Mozilla Firefox
• $Recycle Bin
• ProgramData
• All Users
• Sysvol

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .__r4gN4r__{8 characters based on computer name}

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Directory}\!!!_READ_ME_{8 characters based on computer name}_!!!.txt
• %Public%\Documents\!!!_READ_ME_{8 characters based on computer name}_!!!.txt

• 

以下のファイル拡張子を持つファイルについては暗号化しません：

• .db
• .dll
• .lnk
• .msi
• .drv
• .sys
• .exe