Ransom.Win64.CHARON.THGBCBE

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• OopsCharonHere

プロセスの終了

マルウェアは、感染コンピュータ上で確認した以下のサービスを終了します。

• AcronisAgent
• AcrSch2Svc
• backup
• BackupExecAgentAccelerator
• BackupExecAgentBrowser
• BackupExecDiveciMediaService
• BackupExecJobEngine
• BackupExecManagementService
• BackupExecRPCService
• BackupExecVSSProvider
• CAARCUpdateSvc
• CASAD2DWebSvc
• ccEvtMgr
• ccSetMgr
• DefWatch
• GxBlr
• GxCIMgr
• GxCVD
• GxFWD
• GxVss
• Intuit.QuickBooks.FCS
• memtas
• mepocs
• PDVFSService
• QBCFMonitorService
• QBFCService
• QBIDPService
• RTVscan
• SavRoam
• sophos
• sql
• stc_raw_agent
• svc$
• veeam
• veeam
• VeeamDeploymentService
• VeeamNFSSvc
• VeeamTransportSvc
• VSNAPVSS
• vss
• YooBackup
• YooIT
• zhudongfangyu

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• agntsvc.exe
• dbeng50.exe
• dbsnmp.exe
• encsvc.exe
• excel.exe
• firefox.exe
• infopath.exe
• isqlplussvc.exe
• msaccess.exe
• mspub.exe
• mydesktopqos.exe
• mydesktopservice.exe
• notepad.exe
• ocautoupds.exe
• ocomm.exe
• ocssd.exe
• onenote.exe
• oracle.exe
• outlook.exe
• powerpnt.exe
• sqbcoreservice.exe
• sql.exe
• steam.exe
• synctime.exe
• tbirdconfig.exe
• thebat.exe
• thunderbird.exe
• visio.exe
• winword.exe
• wordpad.exe
• xfssvccon.exe

その他

マルウェアは、以下を実行します。

• It empties the Recycle Bin to eliminate deleted files permanently
• It removes shadow copies and backup data to prevent file recovery.
• It encrypts files based on their size using a variable encryption pattern:
  • Files ≤ 64KB: Entire file is encrypted.
  • Files between 64KB and 5MB: Encrypts 3 segments — start (0%), middle (50%), and end (75%).
  • Files between 5MB and 20MB: Encrypts 5 evenly distributed segments across the file.
  • Files >20MB: Encrypts 7 key positions — 0%, 12.5%, 25%, 50%, 75%, 87.5%, and near the end (~95%).
• It adds this specific marker to each encrypted file:
  • hCharon is enter to the urworld!
• It has the capability to create a malicious service as part of its Anti-EDR strategy:
  • WWC
  • Executes from %System%\WWC.sys

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、以下のパラメータを受け取ります。

• --debug= → Enable logging and save to debug log
• --shares= → Encrypt specific network shares excluding ADMIN$
• --paths= → Encrypt specific directories
• --sf → Shares First, encrypt network shares first

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• How To Restore Your Files.txt

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• #recycle
• $Recycle.Bin
• All Users
• AppData
• autorun.inf
• Boot
• boot.ini
• bootfont.bin
• bootmgfw.efi
• bootmgr
• bootmgr.efi
• bootsect.bak
• desktop.ini
• Google
• iconcache.db
• Internet Explorer
• Mozilla
• Mozilla Firefox
• ntldr
• ntuser.dat
• ntuser.dat.log
• ntuser.ini
• Opera
• Opera Software
• Program Files
• Program Files (x86)
• ProgramData
• thumbs.db
• Tor Browser
• Windows
• Windows.old

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .Charon

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Path}\How To Restore Your Files.txt
  
  
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .exe
• .dll
• .Charon