Ransom.Win32.TERMITE.THLAOBD

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、感染コンピュータ上の特定の情報を収集します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• "%System32%\cmd.exe" /c vssadmin.exe delete shadows /all /quiet

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• DoYouWantToHaveSexWithCuongDong

他のシステム変更

マルウェアは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
CLSID\{User CLID}\DefaultIcon
{Default} = %System32%\imageres.dll,-55

プロセスの終了

マルウェアは、感染コンピュータ上で確認した以下のサービスを終了します。

• HvHost
• vm3dservice
• vmcompute
• vmicguestinterface
• vmicheartbeat
• vmickvpexchange
• vmicrdv
• vmicshutdown
• vmictimesync
• vmicvmsession
• vmicvss
• vmms
• vss
• sql
• svc$
• memtas
• mepocs
• sophos
• veeam
• backup
• GxVss
• GxBlr
• GxFWD
• GxCVD
• GxCIMgr
• DefWatch
• ccEvtMgr
• ccSetMgr
• SavRoam
• RTVscan
• QBFCService
• QBIDPService
• Intuit.QuickBooks.FCS
• QBCFMonitorService
• YooBackup
• YooIT
• zhudongfangyu
• sophos
• stc_raw_agent
• VSNAPVSS
• VeeamTransportSvc
• VeeamDeploymentService
• VeeamNFSSvc
• veeam
• PDVFSService
• BackupExecVSSProvider
• BackupExecAgentAccelerator
• BackupExecAgentBrowser
• BackupExecDiveciMediaService
• BackupExecJobEngine
• BackupExecManagementService
• BackupExecRPCService
• AcrSch2Svc
• AcronisAgent
• CASAD2DWebSvc
• CAARCUpdateSvc

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• vmmem.exe
• vmwp.exe
• sqlservr.exe
• sql.exe
• oracle.exe
• ocssd.exe
• dbsnmp.exe
• synctime.exe
• agntsvc.exe
• isqlplussvc.exe
• xfssvccon.exe
• mydesktopservice.exe
• ocautoupds.exe
• encsvc.exe
• firefox.exe
• tbirdconfig.exe
• mydesktopqos.exe
• ocomm.exe
• dbeng50.exe
• sqbcoreservice.exe
• excel.exe
• infopath.exe
• msaccess.exe
• mspub.exe
• onenote.exe
• outlook.exe
• powerpnt.exe
• steam.exe
• thebat.exe
• thunderbird.exe
• visio.exe
• winword.exe
• wordpad.exe
• Notepad.exe

情報漏えい

マルウェアは、感染コンピュータ上の以下の情報を収集します。

• Number of Processors
• Network Shares

その他

マルウェアは、以下を実行します。

• By default, it encrypts files in the local drive.
• It changes its encryption method based on the file size.
• Before encryption, it terminates processes and services.

マルウェアは、以下のパラメータを受け取ります。

• debug - Enables debug logging
• onefile – Process a single specific file
• shares – Encrypt specific network shares
• paths – Encrypt specific path or drive
• sf – control network share enumeration timing

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• autorun.inf
• boot.ini
• bootfont.bin
• bootsect.bak
• bootmgr
• bootmgr.efi
• bootmgfw.efi
• desktop.ini
• iconcache.db
• ntldr
• ntuser.dat
• ntuser.dat.log
• ntuser.ini
• thumbs.db
• How To Restore Your Files.txt

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• AppData
• Boot
• Windows
• Windows.old
• Tor Browser
• Internet Explorer
• Google
• Opera
• Opera Software
• Mozilla
• Mozilla Firefox
• $Recycle.Bin
• ProgramData
• All Users
• Program Files
• Program Files (x86)

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .termite

マルウェアが作成する以下のファイルは、脅迫状です。

• How To Restore Your Files.txt:
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .termite