Ransom.Win64.RHYSIDA.SM

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Public%\bg.jpg

(註：%Public%フォルダは、すべてのユーザ共通のファイルまたはフォルダのリポジトリとして機能するフォルダです。Windows Vista、7、8の場合、通常 "C:\Users\Public" です。)

マルウェアは、以下のプロセスを追加します。

• cmd.exe /c for /F "tokens=*" %1 in ('wevtutil.exe el') DO wevtutil.exe cl "%1
• cmd.exe /c start powershell.exe -WindowStyle Hidden -Command "Sleep -Milliseconds 1000; schtasks /delete /tn Rhsd /f;
• cmd.exe /c vssadmin.exe Delete Shadows /All /Quiet
• cmd.exe /c reg delete "HKCU\Contol Panel\Desktop" /v Wallpaper /f
• cmd.exe /c reg delete "HKCU\Conttol Panel\Desktop" /v WallpaperStyle /f
• cmd.exe /c reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\ActiveDesktop" /v NoChangingWallPaper /t REG_SZ /d 1 /f
• cmd.exe /c reg add "HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\ActiveDesktop" /v NoChangingWallPaper /t REG_SZ /d 1 /f
• cmd.exe /c reg add "HKCU\Control Panel\Desktop" /v Wallpaper /t REG_SZ /d "%Public%\bg.jpg" /f
• cmd.exe /c reg add "HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System" /v Wallpaper /t REG_SZ /d "%Public%\bg.jpg" /f
• cmd.exe /c reg add "HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System" /v WallpaperStyle /t REG_SZ /d 2 /f
• cmd.exe /c reg add "HKCU\Control Panel\Desktop" /v WallpaperStyle /t REG_SZ /d 2 /f
• rundll32.exe user32.dll,UpdatePerUserSystemParameters
• cmd.exe /c start ping 127.0.0.1 -n 2

(註：%Public%フォルダは、すべてのユーザ共通のファイルまたはフォルダのリポジトリとして機能するフォルダです。Windows Vista、7、8の場合、通常 "C:\Users\Public" です。)

他のシステム変更

マルウェアは、以下のレジストリ値を変更し、デスクトップの壁紙を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
ActiveDesktop
NoChangingWallPaper = 1

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Policies\
ActiveDesktop
NoChangingWallPaper = 1

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %Public%\bg.jpg

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
Wallpaper = %Public%\bg.jpg

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
WallpaperStyle = 2

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_CURRENT_USER\Control Panel\Desktop
WallpaperStyle = 2

(註：変更前の上記レジストリ値は、「0」となります。)

マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。

• %Public%\bg.jpg
  

その他

マルウェアは、以下を実行します。

• It initializes resources based on the number of processors available in the system.
• It encrypts all system drives from A to Z.

マルウェアは、以下のパラメータを受け取ります。

• -d {path to encrypt} → used to specify directory to encrypt
• -sr
• -nobg → used to disable modification of desktop wallpaper after encryption
• -md5
• -S → executes the following:
  • Avoids Ransomware Routine
  • Creates scheduled tasks named Rhsd

以下のスケジュールされたタスクを追加します：

• Task: Rhsd
• Trigger: At system start Up
• Action: "{Malware File Path}\{Malware File name}" -sr

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• .bat
• .bin
• .cab
• .cmd
• .com
• .cur
• .diagcab
• .diagcfg
• .diagpkg
• .drv
• .dll
• .exe
• .hlp
• .hta
• .ico
• .msi
• .ocx
• .ps1
• .psm1
• .scr
• .sys
• .ini
• Thumbs.db
• .url
• .iso

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• $Recycle.Bin
• Boot
• Documents and Settings
• PerfLogs
• ProgramData
• Recovery
• System Volume Information
• Windows
• $RECYCLE.BIN
• ApzData

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .rhysida

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Directory}\CriticalBreachDetected.pdf
  

<補足>
その他

マルウェアは、以下を実行します。

• 感染コンピュータ内で使用可能なプロセッサの数に基づいてリソースを初期化します。
• AからZまでのすべてのシステムドライブを暗号化します。

マルウェアは、以下のパラメータを受け取ります。

• -d {暗号化対象のパス} → 暗号化するディレクトリの指定に使用される
• -sr
• -nobg → 暗号化後にデスクトップの壁紙の変更を無効化するために使用される
• -md5
• -S → 以下を実行します。
  • ランサムウェアの不正活動を行わない
  • 「Rhsd」という名前のスケジュールされたタスクを作成する

以下のスケジュールされたタスクを追加します。

• タスク: Rhsd
• トリガ: コンピュータの起動時
• アクション: "{マルウェアのファイルパス}\{マルウェアのファイル名}" -sr