Ransom.Win64.NUBIAS.THDBIBE.go

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %ProgramData%\icon.ico → icon of encrypted files
• %ProgramData%\wall.jpg → desktop wallpaper

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

マルウェアは、以下のプロセスを追加します。

• vssadmin delete shadows /for=norealvolume /all /quiet → deletes shadow copies
• reg add \"HKEY_LOCAL_MACHINE\SOFTWARE\Microsft\Windows\CurrentVersion\Policies\System\" /v Wallpaper /t REG_SZ /d \"%ProgramData%\wall.jpg" /f → change desktop wallpaper

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

プロセスの終了

マルウェアは、感染コンピュータ上で確認した以下のサービスを終了します。

• SQLPBDMS
• SQLPBENGINE
• MSSQLFDLauncher
• SQLSERVERAGENT
• MSSQLServerOLAPService
• SSASTELEMETRY
• SQLBrowser
• SQL Server Distributed Replay Client
• SQL Server Distributed Replay Controlle
• MsDtsServer150
• SSISTELEMETRY150
• SSISScaleOutMaster150
• SSISScaleOutWorker150
• MSSQLLaunchpad
• SQLWriter
• SQLTELEMETRY
• MSSQLSERVER
• AcronisAgent
• AcrSch2Svc
• backup
• BackupExecAgentAccelerator
• BackupExecAgentBrowser
• BackupExecDiveciMediaService
• BackupExecJobEngine
• BackupExecManagementService
• BackupExecRPCService
• BackupExecVSSProvider
• CAARCUpdateSvc
• CASAD2DWebSvc
• ccEvtMgr
• ccSetMgr
• DefWatch
• GxBlr
• GxCIMgr
• GxCVD
• GxFWD
• GxVss
• Intuit.QuickBooks.FCS
• memtas
• mepocs
• PDVFSService
• QBCFMonitorService
• QBFCService
• QBIDPService
• RTVscan
• SavRoam
• sophos
• sql
• stc_raw_agent
• svc$
• veeam
• VeeamDeploymentService
• VeeamNFSSvc
• VeeamTransportSvc
• VSNAPVSS
• vss
• YooBackup
• Yoo

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• wxServer.exe
• wxServerView.exe
• sqlmangr.exe
• RAgui.exe
• supervise.exe
• Culture.exe
• Defwatch.exe
• httpd.exe
• sync-taskbar
• sync-worker
• wsa_service.exe
• synctime.exe
• vxmon.exe
• sqlbrowser.exe
• tomcat6.exe
• Sqlservr.exe
• AcronisAgent
• AcrSch2Svc
• agntsvc.exe
• BackExecRPCService
• backup
• BackupExecAgentAccelerator
• BackupExecDiveciMediaService
• BackupExecJobEngine
• bedbg
• CAARCUpdateSvc
• ccEvtMgr
• Culserver
• dbeng50.exe
• dbeng8
• dbsnmp.exe
• dbsrv12.exe
• DefWatch
• encsvc.exe
• excel.exe
• firefox.exe
• infopath.exe
• Intuit.QuickBooks.FCS
• isqlplussvc.exe
• memtas
• mepocs
• msaccess.exe
• MSExchange
• msftesql-Exchange
• msmdsrv
• mspub.exe
• MSSQL
• mydesktopqos.exe
• mydesktopservice.exe
• ocautoupds.exe
• ocomm.exe
• ocssd.exe
• onenote.exe
• oracle.exe
• outlook.exe
• PDVFSService
• powerpnt.exe
• QBCFMonitorService
• QBFCService
• QBIDPService
• SavRoam
• sophos
• sqbcoreservice.exe
• sql.exe
• sqladhlp
• SQLADHLP
• sqlagent
• SQLAgent
• SQLAgent$SHAREPOINT
• SQLBrowser
• SQLWriter
• synctime.exe
• tbirdconfig.exe
• thebat.exe
• thunderbird.exe
• tomcat6
• veeam
• VeeamDeploymentService
• VeeamNFSSvc
• VeeamTransportSvc
• visio.exe
• vmware-converter
• vmware-usbarbitator64
• WinSAT.exe
• winword.exe
• wordpad.exe
• WSBExchange
• xfssvccon.exe
• YooBackup

情報漏えい

マルウェアは、以下のパラメータを受け取ります。

• /KEY={launch string} → required to proceed to its encryption routine
  • /elevated → execute the program with admin privileges
  • /WIPEMODE → delete the contents of a file
  • /PFAD= → specify directories to be excluded from encryption
  • /PATH={directory} → path to encrypt

その他

マルウェアは、以下を実行します。

• It checks if the malware was executed with admin privileges.
• It erases the contents of files if /WIPEMODE parameter has been applied.
• It changes the file icon of the encrypted files into the following image:
  

ランサムウェアの不正活動

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• windows
• system32
• programdata
• programme files
• programme files (x86)
• AppData
• public
• system volume information
• \system volume information
• efi
• boot
• public
• perflogs
• microsoft
• intel
• .dotnet
• .gradle
• .nuget
• .vscode
• msys64

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .anubis

マルウェアが作成する以下のファイルは、脅迫状です。

• {encrypted directory}\RESTORE FILES.html
  
• {encrypted directory}\RESTORE FILES.txt