Ransom.Win64.PROTOZOLA.A

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• %System%\cmd.exe /c vssadmin Delete Shadows /all /quiet
• %System%\cmd.exe /c bcdedit /set {default} recoveryenabled No
• %System%\cmd.exe /c bcdedit /set {default} bootstatuspolicy ignoreallfailures
• %System%\cmd.exe /c wmic SHADOWCOPY /nointeractive

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• 4B991369-7C7C-47AA-A81E-EF6ED1F5E24C

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Proton
public = {hex values}

HKEY_CURRENT_USER\Software\Proton
full = {hex values}

マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。

• %Program Data%\{victim ID}.bmp
  

プロセスの終了

マルウェアは、感染コンピュータ上で確認した以下のサービスを終了します。

• wrapper
• DefWatch
• ccEvtMgr
• ccSetMgr
• SavRoam
• Sqlservr
• sqlagent
• sqladhlp
• Culserver
• RTVscan
• sqlbrowser
• SQLADHLP
• QBIDPService
• IntuitQuickBooksFCS
• QBCFMonitorService
• msmdsrv
• tomcat6
• zhudongfangyu
• vmware-usbarbitator64
• vmware-converter
• dbsrv12
• dbeng8
• MSSQL$MICROSOFT##WID
• MSSQL$VEEAMSQL2012
• SQLAgent$VEEAMSQL2012
• SQLBrowser
• SQLWriter
• FishbowlMySQL
• MSSQL$MICROSOFT##WID
• MySQL57
• MSSQL$KAV_CS_ADMIN_KIT
• MSSQLServerADHelper100
• SQLAgent$KAV_CS_ADMIN_KIT
• msftesql-Exchange
• MSSQL$MICROSOFT##SSEE
• MSSQL$SBSMONITORING
• MSSQL$SHAREPOINT
• MSSQLFDLauncher$SBSMONITORING
• MSSQLFDLauncher$SHAREPOINT
• SQLAgent$SBSMONITORING
• SQLAgent$SHAREPOINT
• QBFCService
• QBVSS
• YooBackup
• YooIT
• vss
• sql
• svc$
• MSSQL
• MSSQL$
• memtas
• mepocs
• sophos
• veeam
• backup
• bedbg
• PDVFSService
• BackupExecVSSProvider
• BackupExecAgentAccelerator
• BackupExecAgentBrowser
• BackupExecDiveciMediaService
• BackupExecJobEngine
• BackupExecManagementService
• BackupExecRPCService
• MVArmor
• MVarmor64
• stc_raw_agent
• VSNAPVSS
• VeeamTransportSvc
• VeeamDeploymentService
• VeeamNFSSvc
• AcronisAgent
• ARSM
• AcrSch2Svc
• CASAD2DWebSvc
• CAARCUpdateSvc
• WSBExchange
• MSExchange
• MSExchange$

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• wxServer
• wxServerView
• sqlmangr
• RAgui
• supervise
• Culture
• Defwatch
• winword
• QBW32
• QBDBMgr
• qbupdate
• axlbridge
• httpd
• fdlauncher
• MsDtSrvr
• java
• 360se
• 360doctor
• wdswfsafe
• fdhost
• GDscan
• ZhuDongFangYu
• QBDBMgrN
• mysqld
• AutodeskDesktopApp
• acwebbrowser
• Creative Cloud
• Adobe Desktop Service
• CoreSync
• Adobe CEF
• Helper
• node
• AdobeIPCBroker
• sync-taskbar
• sync-worker
• InputPersonalization
• AdobeCollabSync
• BrCtrlCntr
• BrCcUxSys
• SimplyConnectionManager
• SimplySystemTrayIcon
• fbguard
• fbserver
• ONENOTEM
• wsa_service
• koaly-exp-engine-service
• TeamViewer_Service
• TeamViewer
• tv_w32
• tv_x64
• TitanV
• Ssms
• notepad
• RdrCEF
• sam
• oracle
• ocssd
• dbsnmp
• synctime
• agntsvc
• isqlplussvc
• xfssvccon
• mydesktopservice
• ocautoupds
• encsvc
• tbirdconfig
• mydesktopqos
• ocomm
• dbeng50
• sqbcoreservice
• excel
• infopath
• msaccess
• mspub
• onenote
• outlook
• powerpnt
• steam
• thebat
• thunderbird
• visio
• wordpad
• bedbh
• vxmon
• benetns
• bengien
• pvlsvr
• beserver
• raw_agent_svc
• vsnapvss
• CagService
• DellSystemDetect
• EnterpriseClient
• ProcessHacker
• Procexp64
• Procexp
• GlassWire
• GWCtlSrv
• WireShark
• dumpcap
• j0gnjko1
• Autoruns
• Autoruns64
• Autoruns64a
• Autorunsc
• Autorunsc64
• Autorunsc64a
• Sysmon
• Sysmon64
• procexp64a
• procmon
• procmon64
• procmon64a
• ADExplorer
• ADExplorer64
• ADExplorer64a
• tcpview
• tcpview64
• tcpview64a
• avz
• tdsskiller
• RaccineElevatedCfg
• RaccineSettings
• Raccine_x86
• Raccine
• Sqlservr
• RTVscan
• sqlbrowser
• tomcat6
• QBIDPService
• notepad++
• SystemExplorer
• SystemExplorerService
• SystemExplorerService64
• Totalcmd
• Totalcmd64
• VeeamDeploymentSvc

その他

マルウェアは、以下を実行します。

• It empties the Recycle Bin.
• It terminates itself if the keyboard layout is the following:
  • Persian

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• ntldr
• ntuser.dat.log
• bootsect.bak
• autorun.inf
• thumbs.db
• iconcache.db
• #read-for-recovery.txt

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• intel
• msocache
• $recycle.bin
• system volume information
• $windows.~bt
• $windows.~ws
• boot
• windows nt
• msbuild
• all users
• microsoft
• common files

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• {original filename}.{original extension}.amgdecode@proton.me.Zola

マルウェアが作成する以下のファイルは、脅迫状です。

• %Desktop%\#Read-for-recovery.txt
• {encrypted directory}\#Read-for-recovery.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .exe
• .dll
• .msi
• .bmp
• .ico
• .zola

<補足>
自動実行方法

マルウェアは、Windows起動時に自動実行されるよう＜スタートアップ＞フォルダ内に以下のファイルを作成します。

• {被害者ID}.exe → 作成された自身のコピー

その他

マルウェアは、以下を実行します。

• ごみ箱を空にします。
• キーボードの配列が以下の場合、自身の不正活動を終了します。
  • ペルシャ語