Ransom.Win32.SODINOKIBI.AUWUJDET

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\{random characters}.bmp → used as wallpaper

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\BlackLivesMatter
K6a = {hex values}

HKEY_LOCAL_MACHINE\SOFTWARE\BlackLivesMatter
kZpZ = {hex values}

HKEY_LOCAL_MACHINE\SOFTWARE\BlackLivesMatter
28XOs = {hex values}

HKEY_LOCAL_MACHINE\SOFTWARE\BlackLivesMatter
mlEdtU = {hex values}

HKEY_LOCAL_MACHINE\SOFTWARE\BlackLivesMatter
SUdOP6A = .{appended extension}

HKEY_LOCAL_MACHINE\SOFTWARE\BlackLivesMatter
etdwNrNw = {hex values}

マルウェアは、以下のレジストリ値を変更し、デスクトップの壁紙を変更します。

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %User Temp%\{random characters}.bmp

マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。

プロセスの終了

マルウェアは、感染コンピュータ上で確認した以下のサービスを終了します。

• AcronisAgent
• AcrSch2Svc
• ARSM
• avbackup
• backup
• BackupExecAgentAccelerator
• BackupExecAgentBrowser
• BackupExecDiveciMediaService
• BackupExecJobEngine
• BackupExecManagementService
• BackupExecRPCService
• BackupExecVSSProvider
• bedbg
• CAARCUpdateSvc
• CASAD2DWebSvc
• GxBlr
• GxClMgrS
• GxCVD
• GxFWD
• GXMMM
• GxVssHWProv
• memtas
• mepocs
• MSExchange
• MSExchange$
• MSSQL
• MSSQL$
• MVArmor
• MVarmor64
• PDVFSService
• QBCFMonitorService
• QBDBMgrN
• QBIDPService
• SAP
• SAP$
• SAPD$
• SAPHostControl
• SAPHostExec
• SAPService
• sophos
• sql
• stc_raw_agent
• svc$
• teamviewer
• veeam
• VeeamDeploymentService
• VeeamNFSSvc
• VeeamTransportSvc
• VSNAPVSS
• vss
• WSBExchange

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• agntsvc
• avagent
• avscc
• bedbh
• benetns
• bengien
• beserver
• CagService
• cvd
• cvfwd
• CVMountd
• CVODS
• dbeng50
• dbsnmp
• DellSystemDetect
• disk+work
• encsvc
• EnterpriseClient
• excel
• firefox
• infopath
• isqlplussvc
• msaccess
• mspub
• mydesktopqos
• mydesktopservice
• ocautoupds
• ocomm
• ocssd
• onenote
• oracle
• outlook
• powerpnt
• pvlsvr
• QBCFMonitorService
• QBDBMgrN
• QBIDPService
• raw_agent_svc
• SAP
• saphostexec
• saposcol
• sapstartsrv
• sqbcoreservice
• sql
• steam
• synctime
• tbirdconfig
• TeamViewer.exe
• TeamViewer_Service.exe
• thebat
• thunderbird
• tv_w32.exe
• tv_x64.exe
• VeeamDeploymentSvc
• VeeamNFSSvc
• VeeamTransportSvc
• visio
• vsnapvss
• vxmon
• winword
• wordpad
• xfssvccon

情報漏えい

マルウェアは、以下の情報を収集します。

• Computer name
• Disk Size
• Operating System name
• System Architecture
• Username
• Volume Serial-ID
• Workgroup

その他

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\BlackLivesMatter

マルウェアは、以下を実行します。

• It will terminate itself if the affected system's keyboard layout is any of the following:
  • Arabic-Syria
  • Armenian-Armenia
  • Azerbaijani (Cyrillic)-Azerbaijan
  • Azerbaijani (Latin)-Azerbaijan
  • Belarusian
  • Georgian-Georgia
  • Kazakh-Kazakhstan
  • Kyrgyz-Kyrgyzstan
  • Romanian-Moldova
  • Russian
  • Russian-Moldova
  • Tajik
  • Tatar-Russia
  • Turkmen-Turkmenistan
  • Ukrainian
  • Uzbek (Cyrillic) - Uzbekistan
  • Uzbek (Latin)-Uzbekistan
• It checks if its privilege level is on SYSTEM level. If it is, it will impersonate the user that ran the first explorer.exe it has found.
• It removes the access control list permissions.

マルウェアは、以下のパラメータを受け取ります。

• -silent → skips the following:
  • Termination of blacklisted processes and services
  • Removal of shadow copies
• -path → specifies directory to be encrypted
• -nolocal → avoids encrypting fixed and removable drives
• -nolan → avoids encrypting network and shared drives
• -fast → fast encryption mode

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• autorun.inf
• boot.ini
• bootfont.bin
• bootsect.bak
• desktop.ini
• iconcache.db
• ntldr
• ntuser.dat
• ntuser.dat.log
• ntuser.ini
• thumbs.db

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• $recycle.bin
• $windows.~bt
• $windows.~ws
• appdata
• application data
• boot
• google
• intel
• mozilla
• msocache
• perflogs
• program files
• program files (x86)
• programdata
• system volume information
• tor browser
• windows.old

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .{random characters}

マルウェアは、以下の内容を含む脅迫状のテキストファイルを残します。

• {encrypted directory}\{appended extension}-readme.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .386
• .adv
• .ani
• .bat
• .bin
• .cmd
• .com
• .cpl
• .cur
• .deskthemepack
• .diagcab
• .diagcfg
• .diagpkg
• .dll
• .drv
• .exe
• .hlp
• .hta
• .icl
• .icns
• .ico
• .ics
• .idx
• .key
• .ldf
• .lnk
• .lock
• .mod
• .mpa
• .msc
• .msi
• .msp
• .msstyles
• .msu
• .nls
• .nomedia
• .ocx
• .prf
• .ps1
• .rom
• .rtp
• .scr
• .shs
• .spl
• .sys
• .theme
• .themepack
• .wpx