Ransom.Win64.GOHIVE.YXBL3

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• {Malware directory}\1.bat → deletes afterwards

マルウェアは、以下のプロセスを追加します。

• vssadmin.exe delete shadows /all /quiet

プロセスの終了

マルウェアは、感染コンピュータ上で確認した以下のサービスを終了します。

• AcronisAgent
• AcrSch2Svc
• CAARCUpdateSvc
• CASAD2DWebSvc
• GxBlr
• GxCIMgr
• GxCVD
• GxFWD
• GxVss
• VSNAP
• vss
• sqbcoreservice
• stc_raw_agent
• PDVFSService
• veeam
• YooBackup
• YooIT
• zhudongfangyu
• ccEvtMgr
• ccSetMgr
• DefWatch
• RTVscan
• SavRoam
• agntsvc
• sophos
• encsvc
• memtas
• mepocs
• sqlsvc
• sql
• isqlplussvc
• oracle
• mydesktopqos
• mydesktopservice
• ocautoupds
• ocomm
• ocssd
• dbsnmp
• synctime
• xfssvccon
• dbeng50

その他

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• aspx
• bak
• cer
• csv
• db
• dmp
• docx
• eps
• jsp
• ldf
• log
• mdf
• myd
• myi
• pdf
• pem
• pfx
• php
• ppt
• pptx
• psd
• rtf
• sql
• txt
• vdi
• vmdk
• vmx
• xls
• xlsx

マルウェアは、以下を実行します。

• Encrypts removable and fixed drives
• Terminates process with the following strings:
  
  • mysql
  • excel
  • infopath
  • msaccess
  • mspub
  • onenote
  • outlook
  • powerpnt
  • visio
  • winword
  • notepad
  • wordpad
  • firefox
  • tbirdconfig
  • thunderbird
  • thebat
  • steam
• Finds a file named {Malware directory}\opiPeaGAP_en.exe and delete if found

ランサムウェアの不正活動

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• %Windows%
• Windows NT
• Windows Defender
• Windows Journal
• Windows Mail
• Windows Media Player
• Windows Photo Viewer
• Windows Portable Devices
• Windows Sidebar

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .[opiPeaGAP].salute

マルウェアが作成する以下のファイルは、脅迫状です。

• {Infected directory}\Redme!!!.html