Ransom.Win32.SAFEPAY.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、バックドア活動の機能を備えていません。

マルウェアは、情報収集する機能を備えていません。

特定のファイル拡張子を持つファイルを暗号化します。 身代金要求文書のファイルを作成します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• "%System%\cmd.exe" /c vssadmin delete shadows /all /quiet
• "%System%\cmd.exe" /c wmic shadowcopy delete
• "%System%\cmd.exe" /c bcdedit / set{default} bootstatuspolicy ignoreallfailures
• "%System%\cmd.exe" /c bcdedit / set{default} recoveryenabled no

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• It uses either the default name from its configuration data or an ID generated from the -path= parameter:
  • Global\{Hardcoded ID from configuration data}
  • ID generated from the -path= parameter

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{Generated ID} = {Malware command-line execution}

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、バックドア活動の機能を備えていません。

ルートキット機能

マルウェアは、ルートキット機能を備えていません。

プロセスの終了

マルウェアは、感染コンピュータ上で確認した以下のサービスを終了します。

• vss
• sql
• svc$
• memtas
• mepocs
• msexchange
• sophos
• veeam
• backup
• GxVss
• GxBlr
• GxFWD
• GxCVD
• GxCIMgr

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• sql
• oracle
• ocssd
• dbsnmp
• synctime
• agntsvc
• isqlplussvc
• xfssvccon
• mydesktopservice
• ocautoupds
• encsvc
• firefox
• tbirdconfig
• mydesktopqos
• ocomm
• dbeng50
• sqbcoreservice
• excel
• infopath
• msaccess
• mspub
• far
• onenote
• outlook
• powerpnt
• steam
• thebat
• thunderbird
• visio
• winword
• wordpad
• notepad
• wuauclt
• onedrive
• sqlmangr

情報漏えい

マルウェアは、情報収集する機能を備えていません。

その他

マルウェアは、以下を実行します。

• It empties the recycle bin.

マルウェアは、以下のパラメータを受け取ります。

• -uac → UAC Bypass flag
• -network → Encrypt shared resources
• -selfdelete → Self-deletion after execution
• -log → Enable logging, creates a log file located at %All Users Profile%\auto.log.safepay
• -netdrive → Encrypt network drives
• -pass={32 Characters} → Password for execution
• -path= → Path for files to encrypt
• -enc= → Encryption level

(註：%All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。)

マルウェアは、脆弱性を利用した感染活動を行いません。

ランサムウェアの不正活動

以下の拡張子を持つファイルを暗号化します：

• .safepay
• .exe
• .dll
• .pdb
• .386
• .cmd
• .ani
• .adv
• .ps1
• .cab
• .msi
• .msp
• .com
• .nls
• .ocx
• .mpa
• .cpl
• .mod
• .hta
• .prf
• .rtp
• .rpd
• .bin
• .hlp
• .shs
• .drv
• .wpx
• .bat
• .rom
• .msc
• .spl
• .msu
• .ics
• .key
• .lnk
• .hlp
• .sys
• .drv
• .cur
• .idx
• .ldf
• .ini
• .reg
• .apk
• .ttf
• .otf
• .fon
• .fnt
• .dmp
• .tmp
• .pif
• .wav
• .wma
• .dmg
• .app
• .ipa
• .xex
• .wad
• .msu
• .icns
• .theme
• .diagcfg
• .diagcab
• .diagpkg
• .msstyles
• .gadget
• .woff
• .part
• .sfcache
• .winmd
• .icl
• .deskthemepack
• .nomedia

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• readme_safepay.txt
• autorun.inf
• boot.ini
• bootfont.bin
• bootsect.bak
• desktop.ini
• iconcache.db
• ntldr
• ntuser.dat
• ntuser.dat.log
• ntuser.ini
• thumbs.db

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• $WinREAgent
• $Windows.~bt
• public
• config.msi
• intel
• msocache
• $recycle.bin
• $windows.~ws
• tor browser
• boot
• windows nt
• msbuild
• microsoft
• all users
• system volume information
• perflogs
• application data
• windows
• windows.old
• appdata
• common files
• windows defender
• windowsapp
• windowspowershell
• usoshared
• windows security
• program files
• program files (x86)
• programdata
• default
• mozilla firefox

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .safepay

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Directory}\readme_safepay.txt
  

<補足>
インストール

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• 構成データからのデフォルト名またはパラメータ「-path=」から生成されたIDのいずれかを使用します。
  • Global\{構成データからのハードコードされたID}
  • パラメータ「-path=」から生成されたID

その他

マルウェアは、ごみ箱を空にします。

マルウェアは、以下のパラメータを受け取ります。

• -uac → UACバイパスフラグ
• -network → 共有リソースを暗号化する
• -selfdelete → 実行後、自身を削除する
• -log → ログ記録を有効化し、「%All Users Profile%\auto.log.safepay」にログファイルを作成する
• -netdrive → ネットワークドライブを暗号化する
• -pass={32文字} → 実行時に使用されるパスワード
• -path= → 暗号化対象ファイルのパス
• -enc= → 暗号化レベル