Ransom.Win32.RYUK.FAILDEL

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ネットワーク共有フォルダを介して感染活動をします。その際、利用可能なネットワーク共有フォルダ内に自身のコピーを作成します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• {Malware Path}\{9 random characters}rep.exe
• {Malware Path}\{9 random characters}lan.exe - 2 copies with this name was dropped

マルウェアは、以下のプロセスを追加します。

• {Malware Path}\{9 random characters}rep.exe 9 REP
• {Malware Path}\{9 random characters}lan.exe 8 LAN
• {Malware Path}\{9 random characters}lan.exe 8 LAN -> 2nd copy
• icacls ""{Drive letter}:\*"" /grant Everyone:F /T /C /Q
• net stop "{Service Name}"" /y
• taskkill /IM /F {Process Name}
• schtask /Create /S {remote machine} /TN {name of scheduled task} /TR "" /sc once /st 00:00 /RL HIGHEST

感染活動

マルウェアは、ネットワーク共有フォルダを介して感染活動をします。その際、利用可能なネットワーク共有フォルダ内に自身のコピーを作成します。

プロセスの終了

マルウェアは、感染コンピュータ上でプロセスが常駐されていることを確認した場合、以下のいずれかの文字列を含むプロセスまたはサービスを終了します。

• Processes:
  • virtual
  • vmcomp
  • vmwp
  • veeam
  • backup
  • xchange
  • sql
  • dbeng
  • sofos
  • calc
  • ekrn
  • zoolz
  • encsvc
  • excel
  • firefoxconfig
  • infopath
  • msaccess
  • mspub
  • mydesktop
  • ocautoupds
  • ocomm
  • ocssd
  • onenote
  • oracle
  • outlook
  • powerpnt
  • sqbcoreservice
  • steam
  • synctime
  • tbirdconfig
  • thebat
  • thunderbird
  • visio
  • word
  • xfssvccon
  • tmlisten
  • pccntmon
  • cntaosmgr
  • ntrtscan
  • mbamtray
• Services:
  • vmcomp
  • vmwp
  • Back
  • xchange
  • ackup
  • acronis
  • sql
  • Enterprise
  • Sophos
  • Veeam
  • AcrSch
  • Antivirus
  • bedbg
  • DCAgent
  • EPSecurity
  • EPUpdate
  • Eraser
  • EsgShKernel
  • FA_Scheduler
  • IISAdmin
  • IMAP4
  • MBAM
  • Endpoint
  • Afee
  • McShield
  • task
  • mfemms
  • mfevtp
  • mms
  • MsDts
  • Exchange
  • ntrt
  • PDVF
  • POP3
  • Report
  • RESvc
  • sacsvr
  • SAVAdmin
  • SamS
  • SDRSVC
  • SepMaster
  • Monitor
  • Smcinst
  • SmcService
  • SMTP
  • SNAC
  • swi
  • CCSF
  • TrueKey
  • tmlisten
  • UI0Detect
  • W3S
  • WRSVC
  • NetMsmq
  • ekrn
  • EhttpSrv
  • ESHASRV
  • AVP
  • klnagent
  • wbengine
  • KAVF
  • mfefire

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• ntldr
• bootmgr
• boot
• NTDETECT

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• \Windows\
• Windows
• boot
• WINDOWS
• Chrome
• Mozilla
• SYSVOL
• NTDS
• netlogon
• sysvol

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .RYK

マルウェアが作成する以下のファイルは、脅迫状です。

• %User Temp%\RyukReadMe.html
• {Encrypted Directory}\RyukReadMe.html
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .dll
• .exe
• .ini
• .lnk