Ransom.Win32.RYUK.FAIMDER

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ネットワーク共有フォルダを介して感染活動をします。その際、利用可能なネットワーク共有フォルダ内に自身のコピーを作成します。

身代金要求文書のファイルを作成します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• {Malware Path}\{4 random digits}r.exe
• {Malware Path}\{9 random characters}lan.exe

マルウェアは、以下のプロセスを追加します。

• "{Malware Path}\{4 random digits}r.exe" 9 REP
• "{Malware Path}\{9 random characters}lan.exe" 8 LAN
• cacls ""{Drive letter}:\*"" /grant Everyone:F /T /C /Q
• net stop "{Service Name}"" /y
• taskkill /IM /F {Process Name}
• schtask /Create /S {remote machine} /TN {name of scheduled task} /TR "" /sc once /st 00:00 /RL HIGHEST

感染活動

マルウェアは、ネットワーク共有フォルダを介して感染活動をします。その際、利用可能なネットワーク共有フォルダ内に自身のコピーを作成します。

プロセスの終了

マルウェアは、感染コンピュータ上でプロセスが常駐されていることを確認した場合、以下のいずれかの文字列を含むプロセスまたはサービスを終了します。

• Processes:
  • virtual
  • vmcomp
  • vmwp
  • veeam
  • backup
  • backup
  • xchange
  • sql
  • dbeng
  • sofos
  • calc
  • ekrn
  • zoolz
  • encsvc
  • excel
  • firefoxconfig
  • infopath
  • msaccess
  • mspub
  • mydesktop
  • ocautoupds
  • ocomm
  • ocssd
  • onenote
  • oracle
  • outlook
  • powerpnt
  • sqbcoreservice
  • steam
  • synctime
  • tbirdconfig
  • thebat
  • thunderbird
  • visio
  • word
  • xfssvccon
  • tmlisten
  • pccntmon
  • cntaosmgr
  • ntrtscan
  • mbamtray
• Services:
  • vmcomp
  • vmwp
  • veeam
  • back
  • xchange
  • ackup
  • acronis
  • sql
  • enterprise
  • sophos
  • acrsch
  • antivirus
  • bedbg
  • dcagent
  • epsecurity
  • epupdate
  • eraser
  • esgshkernel
  • fa_scheduler
  • iisadmin
  • imap4
  • mbam
  • endpoint
  • afee
  • mshield
  • task
  • mfemms
  • mfevtp
  • mms
  • msdts
  • exchange
  • ntrt
  • pdvf
  • pop3
  • report
  • resvc
  • sacsvr
  • savadmin
  • sams
  • sdrsvc
  • sepmaster
  • monitor
  • smcinst
  • smcservice
  • smtp
  • snac
  • swi
  • ccsf
  • truekey
  • tmlisten
  • ui0detect
  • w3s
  • wrsvc
  • netmsmq
  • ekrn
  • ehttpsrv
  • eshasrv
  • avp
  • klnagent
  • wbengine
  • kavf
  • mfefire

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• ntldr
• bootmgr
• boot
• NTDETECT

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• \Windows\
• Windows
• boot
• WINDOWS
• Chrome
• Mozilla
• SYSVOL
• NTDS
• netlogon
• sysvol

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .RYK

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Directory}\RyukReadMe.html