Ransom.Win32.ZEPPELIN.YABCKT

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、実行後、自身を削除します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\{Random Characters}.zeppelin
• %User Temp%\~{Random Characters}.bat → responsible for deleting shadow copies

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\Microsoft\Windows\{Random name of any running process}.exe

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のプロセスを追加します。

• "%System%\cmd.exe" /C %User Temp%\~{Random Characters}.bat
• "%System%\cmd.exe" /C wmic shadowcopy delete
• "%System%\cmd.exe" /C bcdedit /set {default} recoveryenabled no
• "%System%\cmd.exe" /C bcdedit /set {default} bootstatuspolicy ignoreallfailures
• "%System%\cmd.exe" /C wbadmin delete catalog -quiet
• "%System%\cmd.exe" /C vssadmin delete shadows /all /quiet
• "%Application Data%\Microsoft\Windows\{Random name of any running process}.exe" -start -> if started without a parameter
• "%Application Data%\Microsoft\Windows\{Random name of any running process}.exe" -agent {Corresponding number of Drive from HKEY_CURRENT_USER\Software\Zeppelin\Paths}

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、実行後、自身を削除します。

マルウェアは、以下のプロセスにコードを組み込みます。

• %System%\notepad.exe → for deleting itself

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{Same filename from the dropped copy on %Application Data%\Microsoft\Windows} = "%Application Data%\Microsoft\Windows\{Random name of any running process}.exe" -start

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Zeppelin
Process = {Random Characters}

HKEY_CURRENT_USER\Software\Zeppelin\
Paths
{A numerical value starting from 0 that increments for each logical drives found} = {Corresponding Drive Letter}

• Note: The number of registry entries created depends on the number of logical drives found

HKEY_CURRENT_USER\Software\Zeppelin\
Log
{Corresponding value of Drive Letter from HKEY_CURRENT_USER\Software\Zeppelin\Paths registry key} = {Number of encrypted files} | {Path}

プロセスの終了

マルウェアは、感染コンピュータ上で確認した以下のサービスを終了します。

• agntsvc.exe
• anvir.exe
• anvir64.exe
• apache.exe
• backup.exe
• ccleaner.exe
• ccleaner64.exe
• dbeng50.exe
• dbsnmp.exe
• encsvc.exe
• far.exe
• firefoxconfig.exe
• infopath.exe
• isqlplussvc.exe
• kingdee.exe
• msaccess.exe
• msftesql.exe
• mspub.exe
• mydesktopqos.exe
• mydesktopservice.exe
• mysqld-nt.exe
• mysqld-opt.exe
• mysqld.exe
• ncsvc.exe
• ocautoupds.exe
• ocomm.exe
• ocssd.exe
• oracle.exe
• procexp.exe
• regedit.exe
• sqbcoreservice.exe
• sql.exe
• sqlagent.exe
• sqlbrowser.exe
• sqlserver.exe
• sqlservr.exe
• sqlwriter.exe
• synctime.exe
• taskkill.exe
• tbirdconfig.exe
• tomcat.exe
• tomcat6.exe
• u8.exe
• ufida.exe
• visio.exe
• xfssvccon.exe

その他

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Zeppelin

HKEY_CURRENT_USER\Software\Zeppelin\
Paths

HKEY_CURRENT_USER\Software\Zeppelin\
Log

マルウェアは、以下を実行します。

• It terminates itself if found to be running in a machine from the following countries:
  
  • Ukraine
  • Belorussia
  • Kazakhstan
  • Russian Federation
• It uses the following url to determine the machine's IP and the country it is from:
  • geoiptool.com

マルウェアは、以下のパラメータを受け取ります。

• {Path of the file to encrypt}
• {Path of the directory to encrypt}
• -start (file encryption mode only)
• -agent {Corresponding Drive number from HKEY_CURRENT_USER\Software\Zeppelin\Paths registry key}

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• boot.ini
• bootfont.bin
• bootsect.bak
• desktop.ini
• iconcache.db
• ntdetect.com
• ntldr
• ntuser.dat
• ntuser.dat.log
• ntuser.ini
• thumbs.db
• !!! all your files are encrypted !!!.txt

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• :\$Windows.~bt\
• :\System Volume Information\
• :\Windows.old\
• :\Windows\
• :\intel\
• :\nvidia\
• :\inetpub\logs\
• \All Users\
• \AppData\
• \Apple Computer\Safari\
• \Application Data\
• \Boot\
• \Google\
• \Google\Chrome\
• \Mozilla Firefox\
• \Mozilla\
• \Opera Software\
• \Opera\
• \Tor Browser\
• \Common Files\
• \Internet Explorer\
• \Windows Defender\
• \Windows Mail\
• \Windows Media Player\
• \Windows Multimedia Platform\
• \WindowsNT\
• \Windows Photo Viewer\
• \Windows Portable Devices\
• \WindowsPowerShell\
• \Windows Photo Viewer\
• \Windows Security\
• \Embedded Lockdown Manager\
• \Windows Journal\
• \MSBuild\
• \Reference Assemblies\
• \Windows Sidebar\
• \Windows Defender AdvancedThreat Protection\
• \Microsoft\
• \Package Cache\
• \Microsoft Help\

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• {Original Filename}.{Original File Extension}.{Unique ID}

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Directory}\!!! ALL YOUR FILES ARE ENCRYPTED !!!.TXT
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .hta
• .bat
• .cmd
• .com
• .cpl
• .dll
• .msc
• .msp
• .pif
• .scr
• .sys
• .log
• .lnk