Ransom.Win32.SODINOKIBI.AUWUJDFE

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\{Random characters}.bmp → used as wallpaper

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
1E8NAmhfRO = {Malware Path}\{Malware Name}.exe

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\BlackLivesMatter
tjr = {Hex Values}

HKEY_LOCAL_MACHINE\SOFTWARE\BlackLivesMatter
evai = {Hex Values}

HKEY_LOCAL_MACHINE\SOFTWARE\BlackLivesMatter
52zS0 = {Hex Values}

HKEY_LOCAL_MACHINE\SOFTWARE\BlackLivesMatter
180rlN = {Hex Values}

HKEY_LOCAL_MACHINE\SOFTWARE\BlackLivesMatter
zOqjWEPg = {Hex Values}

HKEY_LOCAL_MACHINE\SOFTWARE\BlackLivesMatter
b2YcY60 = .{Appended Extension}

マルウェアは、以下のレジストリ値を変更し、デスクトップの壁紙を変更します。

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %User Temp%\{Random characters}.bmp

マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。

プロセスの終了

マルウェアは、感染コンピュータ上で確認した以下のサービスを終了します。

• backup 
• memtas 
• mepocs 
• sophos 
• sql 
• svc$ 
• veeam  
• vss 

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• agntsvc  
• dbeng50  
• dbsnmp  
• encsvc  
• excel  
• firefox  
• infopath  
• isqlplussvc  
• msaccess  
• mspub  
• mydesktopqos  
• mydesktopservice  
• ocautoupds  
• ocomm  
• ocssd  
• onenote  
• oracle  
• outlook  
• powerpnt  
• sqbcoreservice  
• sql  
• steam  
• synctime  
• tbirdconfig  
• thebat  
• thunderbird  
• visio 
• winword  
• wordpad  
• xfssvccon  

情報漏えい

マルウェアは、以下の情報を収集します。

• Computer name
• Operating System name
• System Architecture
• Username
• Workgroup

その他

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\BlackLivesMatter

マルウェアは、以下を実行します。

• It will terminate itself if the affected system's keyboard layout is any of the following:
  • Arabic-Syria
  • Armenian-Armenia
  • Azerbaijani (Cyrillic)-Azerbaijan
  • Azerbaijani (Latin)-Azerbaijan
  • Belarusian
  • Georgian-Georgia
  • Kazakh-Kazakhstan
  • Kyrgyz-Kyrgyzstan
  • Romanian-Moldova
  • Russian
  • Russian-Moldova
  • Syriac - Syria
  • Tajikistan - Tajik (Cyrillic)
  • Tatar-Russia
  • Turkmen-Turkmenistan
  • Ukrainian
  • Uzbek (Cyrillic) - Uzbekistan
  • Uzbek (Latin)-Uzbekistan
• It wipes the contents of the following folder:
  • backup
• It searches for files to encrypt in remote drives, fixed drives, removable drives, and network resources.

マルウェアは、以下のパラメータを受け取ります。

• -silent → skips the following:
  • Termination of blacklisted processes and services
  • Removal of shadow copies
• -path → specifies directory to be encrypted
• -nolocal → avoids encrypting fixed and removable drives
• -nolan → avoids encrypting network and shared drives
• -fast → fast encryption mode

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• autorun.inf  
• boot.ini  
• bootfont.bin  
• bootsect.bak 
• desktop.ini  
• iconcache.db  
• ntldr  
• ntuser.dat  
• ntuser.dat.log  
• ntuser.ini  
• thumbs.db  

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• $recycle.bin  
• $windows.~bt  
• application data  
• boot  
• google  
• intel  
• mozilla  
• msocache  
• program files  
• system volume information  
• tor browser  

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .{random characters}

マルウェアは、以下の内容を含む脅迫状のテキストファイルを残します。

• {encrypted directory}\{appended extension}-readme.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• 386  
• adv  
• ani  
• bat  
• cab  
• cmd  
• com  
• cpl  
• cur  
• deskthemepack  
• diagcab  
• diagcfg  
• diagpkg  
• dll  
• drv  
• exe  
• hlp  
• hta  
• icl  
• icns  
• ico  
• ics  
• idx  
• key  
• ldf  
• lnk  
• lock  
• mod  
• mpa  
• msc  
• msi  
• msp
• msstyles  
• msu  
• nls  
• nomedia  
• ocx  
• prf  
• ps1  
• rom  
• rtp  
• scr  
• shs  
• spl  
• sys  
• theme  
• themepack  
• wpx