Ransom.Win64.TENGU.TCLRYNAA.go

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、バックドア活動の機能を備えていません。

マルウェアは、情報収集する機能を備えていません。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\Wallpaper.png → Embedded ransom wallpaper (deleted after applying to desktop/lock screen)
  

マルウェアは、以下のプロセスを追加します。

• wmic shadowcopy delete
• wmic service where name='vss' call ChangeStartMode Disabled
• net stop vss

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• locker_mutex.lock

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\PersonalizationCSP
LockScreenImagePath = %User Temp%\Wallpaper.png

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\PersonalizationCSP
LockScreenImageStatus = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows\Personalization
LockScreenImage = %User Temp%\Wallpaper.png

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Authentication\
LogonUI\Background
OEMBackground = 1

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %User Temp%\Wallpaper.png

(註：変更前の上記レジストリ値は、「{Default wallpaper image}」となります。)

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、バックドア活動の機能を備えていません。

ルートキット機能

マルウェアは、ルートキット機能を備えていません。

プロセスの終了

マルウェアは、感染コンピュータ上で確認した以下のサービスを終了します。

• vss
• sql
• svc$
• memtas
• mepocs
• msexchange
• sophos
• veeam
• backup
• GxVss
• GxBlr
• GxFWD
• GxCVD
• GxCIMgr

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• sql
• oracle
• ocssd
• dbsnmp
• synctime
• agntsvc
• isqlplussvc
• xfssvccon
• mydesktopservice
• ocautoupds
• encsvc
• firefox
• tbirdconfig
• mydesktopqos
• ocomm
• dbeng50
• sqbcoreservice
• excel
• infopath
• msaccess
• mspub
• onenote
• outlook
• powerpnt
• steam
• thebat
• thunderbird
• visio
• winword
• wordpad
• notepad
• calc
• wuauclt
• onedrive

情報漏えい

マルウェアは、情報収集する機能を備えていません。

その他

マルウェアは、以下を実行します。

• Disables Windows Spotlight feature to ensure ransom note wallpaper persistence.

マルウェアは、以下のパラメータを受け取ります。

• --spread {file} → Enable lateral movement with host list file
• --paths → Colon-separated list of specific paths to encrypt
• --ips → Target IP addresses for network propagation
• --logs → Log file path for operator debugging
• --no-wallpaper → Suppress wallpaper and lock screen modifications
• -no-admin → Skip administrator privilege checks
• bg → Launch background worker mode for scripted deployment

マルウェアは、脆弱性を利用した感染活動を行いません。

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• autoexec.bat
• bootfont.bin
• bootsect.bak
• iconcache.db
• d3d9caps.dat
• desktop.ini
• autorun.inf
• config.sys
• ntuser.dat
• ntuser.ini
• config.msi
• boot.ini
• logs.txt
• thumbs.db

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• $recycle.bin
• $windows.~bt
• $windows.~ws
• programdata
• windows.old
• tor browser
• system32
• perflogs
• msocache
• public
• .nuget
• msys64
• x64dbg

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .TENGU

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Directory}\_README_TENGU.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .sys
• .dll
• .com
• .scr
• .bat
• .vbs
• .ps1
• .lnk
• .inf
• .reg
• .msi
• .ini
• .386
• .adv
• .ani
• .bin
• .cab
• .cmd
• .cpl
• .cur
• .drv
• .hlp
• .icl
• .ico
• .ics
• .idx
• .ldf
• .mod
• .mpa
• .msc
• .msp
• .msu
• .nls
• .ocx
• .prf
• .rom
• .rtp
• .shs
• .spl
• .wpx
• .key
• .hta
• .pdb
• .lock
• .icns
• .theme
• .themepack
• .search-ms
• .diagcab
• .diagcfg
• .diagpkg
• .nomedia

<補足>
インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\Wallpaper.png → 身代金要求文書（README.txtファイル）を確認するよう誘導する文言が記載された壁紙（デスクトップ/ロック画面に適用された後、削除される）
  

その他

マルウェアは、身代金要求文書の壁紙が永続的に表示されるよう、Windowsスポットライト機能を無効化します。

マルウェアは、以下のパラメータを受け取ります。

• --spread {ファイル} → ホストのリストファイルを用いた拡散活動（横展開）を可能にする
• --paths → コロンで区切られた暗号化対象パスの一覧
• --ips → ネットワーク上での拡散活動の対象となるIPアドレス
• --logs → オペレータのデバッグログファイルのパス
• --no-wallpaper → 壁紙やロック画面の変更を抑制する
• -no-admin → 管理者権限の確認をスキップする
• bg → スクリプトデプロイメントのためにBackgroundWorkerを実行する