Ransom.Win64.GROUNDE.THGOEBC

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• {Encrypted Directory}\!!readme!!!.txt
• {Malware File Path}\temp.cmd → Used to delete itself

マルウェアは、以下のプロセスを追加します。

• "%System%\vssadmin.exe" delete shadows /all /quiet
• "%System%\net.exe" stop MSSQLSERVER /f /m
• cmd /c temp.cmd {Malware File Path}/{Malware File Name}.{Malware Extension}

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows NT\Terminal Services
MaxDisconnectionTime = 1209600000

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• !!readme!!!.txt
• VIPinfo.txt

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• \microsoft\
• \google\chrome
• \mozilla\firefox
• \opera\
• C:\windows

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Directory}\!!readme!!!.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• sys
• exe
• dll
• bat
• bin
• cmd
• com
• cpl
• gadget
• inf1
• ins
• inx
• isu
• job
• jse
• lnk
• msc
• msi
• mst
• paf
• pif
• rgs
• scr
• sct
• shb
• shs
• u3p
• vb
• vbe
• vbs
• vbscript
• ws
• wsh
• wsf

<補足>
インストール

マルウェアは、以下のファイルを作成します。

• {暗号化されたディレクトリ}\!!readme!!!.txt
• {マルウェアのファイルパス}\temp.cmd → 自身を削除するために用いられる

マルウェアは、以下のプロセスを追加します。

• "%System%\vssadmin.exe" delete shadows /all /quiet
• "%System%\net.exe" stop MSSQLSERVER /f /m
• cmd /c temp.cmd {マルウェアのファイルパス}/{マルウェアのファイル名}.{マルウェアの拡張子}