Ransom.Win32.SFILE.AA

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

その他

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• All extensions except for the extensions it avoids

マルウェアは、以下を実行します。

• Terminates processes not named the following:
  • powershell.exe
  • rundll32.exe
  • werfault.exe
  • explorer.exe
  • vmnetdhcp.exe
  • vmware-authd.exe
  • vmware-hostd.exe
  • vmware-tray.exe
  • vmware-usbarbitrator64.exe
  • vmware-usbarbitrator32.exe
  • webroot_updater.exe
  • windowsupdate.exe
  • 1vmware-usbarbitrator.exe
• Encrypts the following drive types:
  • Fixed drive
  • Removable drive
  • Remote drive

マルウェアは、以下のパラメータを受け取ります。

• --enable-shares -> encrypt network shares

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• autorun.inf
• boot.ini
• bootfont.bin
• bootsect.bak
• desktop.ini
• iconcache.db
• ntldr
• ntuser.dat
• ntuser.dat.log
• ntuser.ini
• thumbs.db
• bootmgr
• how_to_recover_damaged_documents.txt
• ! cynet ransom protection(don't delete)

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• %windir%
• \$RECYCLE.BIN\
• \windows\system32\
• \windows\syswow64\
• \windows\system\
• \windows\winsxs\
• \System\msadc\
• \Common Files\
• \WindowsPowerShell\
• \Program Files\Internet Explorer\
• \Program Files\Microsoft Games\
• \all users\microsoft\
• \inetpub\logs\
• :\boot\
• :\system volume information\
• :\drivers\
• :\wsus\
• \cache\
• \cache2\
• \far manager\
• \ida 7.0\
• \ida 6.8\
• sub_42F120(&off_440BB0
• \Temporary Internet Files\
• \Temp\
• $windows.~bt
• $windows.~ws
• \google\
• \mozilla\
• \tor browser\
• \windows.old\
• \intel\
• \msocache\
• \perflogs\
• \ProgramData\Microsoft\
• \Application Data\Microsoft\
• \All Users\Microsoft\
• \Roaming\Microsoft\
• \Local\Microsoft\
• \Local Settings\Microsoft\
• \LocalLow\Microsoft\
• \Common\Microsoft\
• \Sophos\
• \Symantec\
• \Leaked\

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• Technomous-zbtrqyd

マルウェアは、以下の内容を含む脅迫状のテキストファイルを残します。

• {Encrypted directory}\how_to_recover_damaged_documents.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• exe
• dll
• ocx
• ani
• cab
• cpl
• cur
• diagcab
• diagpkg
• drv
• hlp
• icl
• icns
• ico
• ics
• lnk
• idx
• mod
• mpa
• msc
• msp
• msstyles
• msu
• nomedia
• prf
• rom
• rtp
• scr
• shs
• spl
• sys
• theme
• themepack
• deskthemepack
• bat
• cmd
• url
• mui
• inf
• pf
• ntldr
• nls
• hta
• ax
• msi
• mst
• iso
• technomous-zbtrqyd