Ransom.Win64.ZENOBAN.THKBGBE

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

身代金要求文書のファイルを作成します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• %System%\cmd.exe "cmd" /C "vssadmin Delete Shadows /All /Quiet"
• %System%\vssadmin.exe Delete Shadows /All /Quiet
• %System%\cmd.exe "cmd" /C "wmic shadowcopy delete"
• %System%\wmic.exe wmic shadowcopy delete
• %System%\wbadmin.exe wbadmin delete catalog -quiet
• %System%\cmd.exe "cmd" /C "powershell.exe -Command \"Disable-ComputerRestore -Drive C:\""
• %System%\WindowsPowerShell\v1.0\powershell.exe powershell.exe -Command \"Disable-ComputerRestore -Drive C:\"
• %System%\cmd.exe "cmd" /C "powershell.exe -Command \"Get-ComputerRestorePoint | Remove-ComputerRestorePoint -RestorePointType All\""
• %System%\WindowsPowerShell\v1.0\powershell.exe powershell.exe -Command \"Get-ComputerRestorePoint | Remove-ComputerRestorePoint -RestorePointType All\"
• %System%\cmd.exe "cmd" /C "bcdedit /set {default} bootstatuspolicy ignoreallfailures"
• %System%\bcdedit.exe bcdedit /set {default} bootstatuspolicy ignoreallfailures
• %System%\cmd.exe "cmd" /C "bcdedit /set {default} recoveryenabled No"
• %System%\bcdedit.exe bcdedit /set {default} recoveryenabled No
• %System%\WindowsPowerShell\v1.0\powershell.exe "powershell" -Command "$w=@('system','idle','smss','csrss','wininit','services','lsass','winlogon','svchost','explorer','dwm','shellexperiencehost','runtimebroker','trustedinstaller','tiworker','textinputhost','taskhostw','mousocoreworker','fontdrvhost','audiodg','sihost','spoolsv','taskeng','taskhost','searchui','securityhealthservice','startmenuexperiencehost','searchindexer','backgroundtaskhost','sppsvc','wmiprvse','wudfhost','vboxservice','vboxtray','vmtoolsd','vmwaretray','vboxguest','vmsrvc','vgauthservice','vmacthlp','qemud','qemu-ga','msdtc','searchprotocolhost','wlanext','dllhost','conhost','comppkgsrv','msmpeng','mssecflt','systemsettings','securityhealthsystray','nvtray','nvvsvc','ravbg64','igfxtray','igfxem','igfxcuiservice','igfxhk','igfxext','ransom.win64.zenoban.thkbgbe','{Malware File Name}');Get-Process|Where-Object{$w -notcontains $_.Name.ToLower()}|Stop-Process -Force"
• %System%\notepad.exe "%Desktop%\RECOVERY_INFO.txt"

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\Desktop" です。)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}.{BLOCKED}.139.126/stol.png

ただし、情報公開日現在、このWebサイトにはアクセスできません。

ランサムウェアの不正活動

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• {Original Filename}.{Original extension}.benzona

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted File Path}\RECOVERY_INFO.txt
• %Desktop%\RECOVERY_INFO.txt

(註：%Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\Desktop" です。)