Ransom.Win32.THUNDERCRYPT.SM

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

身代金要求文書のファイルを作成します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Temp%\MoUsoCoreWorker.exe
• %Windows%\dws.exe

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、以下のファイルを作成します。

• %Windows%\tWjdf.js → Contains script to use SpVoice Interface functionality.

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、以下のプロセスを追加します。

• %User Temp%\MoUsoCoreWorker.exe"
• Using "%System%\wbem\WMIC.exe" process call create {Command String}":
  • sc create "service_123" binpath= "cmd.exe /k %Windows%\dws.exe & {Long String of Characters}" displayname="A" start= auto
  • cmd.exe /c WMIC.exe shadowcopy delete /nointeractive & bcdedit.exe /set {default} recoveryenabled no & bcdedit.exe /set {default} bootstatuspolicy ignoreallfailures
  • cmd.exe /c wevtutil cl "security"&wevtutil cl "windows powershell"&wevtutil cl "security"&wevtutil cl "Application"&wevtutil cl HardwareEvents"&wevtutil cl "System"&wevtutil cl "Setup"&wevtutil cl "Setup"
  • cmd.exe/c schtasks /Create /F /Ru Users /SC DAILY /TN voise /TR "%Windows%\tWjdf.js"
  • cmd.exe /c schtasks /Run /TN voise
• %System%\cmd.exe /c wmic /node:'0.0.0.0' /USER:'{Domain}.com\Administrator' /PASSWORD:'{Password}' process call create "cmd.exe /c schtasks /Create /F /RU System /SC ONLOGON /TN sz40 /TR '\{Domain}.com\NETLOGON\ScreenConn.exe' & SCHTASKS /run /TN sz40&SCHTASKS /Delete /TN sz40 /F"

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• wolf

自動実行方法

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\service_123

情報漏えい

マルウェアは、以下の情報を収集します。

• Computer Name

その他

マルウェアは、以下を実行します。

• It only proceeds to its encryption routine if its filename is MoUsoCoreWorker.exe.
• It encrypts FIXED, REMOVABLE, and NETWORK Drives.
• It uses SpVoice Interface functionality to play the following message:
  • You've been hacked! Your files are stolen and encrypted. Follow our instructions!
• It creates a one time remote scheduled task to execute its copy.
• It sends the information it gathers to the following URL:
  • {BLOCKED}.{BLOCKED}.147.28

ただし、情報公開日現在、このWebサイトにはアクセスできません。

以下のスケジュールされたタスクを追加します：

• Task Name: voise
  Trigger: Daily
  Task Action: %Windows%\tWjdf.js
• Task Name: sz40
  Trigger: ONLOGON
  Task Action: \{Domain}.com\NETLOGON\ScreenConn.exe

ランサムウェアの不正活動

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• $Recycle.Bin
• All Users
• Local
• Microsoft
• Packages
• Program Files
• Program Files (x86)
• ProgramData
• Temp
• WINDOWS
• Windows

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• Lorenz.sz40

マルウェアが作成する以下のファイルは、脅迫状です。

• %Desktop%\HELP_SECURITY_EVENT.html
• %Desktop%\{Encrypted directory}\HELP_SECURITY_EVENT.html
•