RANSOM_BADRABBIT.A

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

「Bad Rabbit」として知られるこのランサムウェアは、ウクライナおよびロシアの有名企業のネットワークに拡散したと報道されました。このランサムウェアは、ネットワーク共有を介して拡散してました。また感染コンピュータの「マスター・ブート・レコード（MBR）」を改変します。

マルウェアは、特定のファイル拡張子を持つファイルを暗号化します。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• {Drive letter}:\Readme.txt ← Ransom note
• %All Users Profile%\dispci.exe ← overwrites MBR and decrypts files. Drops in %All Users Profile% if McAfee products are found.
• %Windows%\cscc.dat ← Normal file used by dispci.exe.
• %Windows%\dispci.exe ← overwrites MBR and decrypts files. Drops in %Windows% if no McAfee products are found.
• %Windows%\{random hex value}.tmp ← Mimikatz, gathers username and password. Deleted afterwards.
• %Desktop%\DECRYPT.lnk ← Shortcut file for %Windows%\dispci.exe
• %All Users Profile%\DECRYPT.lnk ← Shortcut file for %Windows%\dispci.exe

(註：%All Users Profile%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\All Users”、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\ProgramData” です。.. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.. %Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.)

マルウェアは、以下のファイルを作成し実行します。

• %Windows%\infpub.dat ← Deleted afterwards.

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\cscc
DependOnService = "FltMgr"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\cscc
DisplayName = "Windows Client Side Caching DDriver"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\cscc
ErrorControl = 3

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\cscc
Group = "Filter"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\cscc
ImagePath = "cscc.dat"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\cscc
Start = 0

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\cscc
Type = 1

情報漏えい

マルウェアは、以下の情報を収集します。

• Username
• Password

ランサムウェアの不正活動

マルウェアは、以下の文字列を含むファイルを暗号化します。

• .3ds
• .7z
• .accdb
• .ai
• .asm
• .asp
• .aspx
• .avhd
• .back
• .bak
• .bmp
• .brw
• .c
• .cab
• .cc
• .cer
• .cfg
• .conf
• .cpp
• .crt
• .cs
• .ctl
• .cxx
• .dbf
• .der
• .dib
• .disk
• .djvu
• .doc
• .docx
• .dwg
• .eml
• .fdb
• .gz
• .h
• .hdd
• .hpp
• .hxx
• .iso
• .java
• .jfif
• .jpe
• .jpeg
• .jpg
• .js
• .kdbx
• .key
• .mail
• .mdb
• .msg
• .nrg
• .odc
• .odf
• .odg
• .odi
• .odm
• .odp
• .ods
• .odt
• .ora
• .ost
• .ova
• .ovf
• .p12
• .p7b
• .p7c
• .pdf
• .pem
• .pfx
• .php
• .pmf
• .png
• .ppt
• .pptx
• .ps1
• .pst
• .pvi
• .py
• .pyc
• .pyw
• .qcow
• .qcow2
• .rar
• .rb
• .rtf
• .scm
• .sln
• .sql
• .tar
• .tib
• .tif
• .tiff
• .vb
• .vbox
• .vbs
• .vcb
• .vdi
• .vfd
• .vhd
• .vhdx
• .vmc
• .vmdk
• .vmsd
• .vmtm
• .vmx
• .vsdx
• .vsv
• .work
• .xls
• .xlsx
• .xml
• .xvd
• .zip

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• \AppData
• \ProgramData
• \Program Files
• \Windows

マルウェアは、以下のファイルを作成し実行します。

• "%Windows%\cscc.dat ← ”dispci.exe” が利用する普通のファイル
• %Windows%\dispci.exe ← MBR を上書きし、ファイルを復号する
• %Windows%\{ランダムな16進値}.tmp ←ユーザ名およびパスワードを収集するツール 「Mimikatz」。後に削除される
• %Desktop%\DECRYPT.lnk ← %Windows%\dispci.exe のショートカットファイル
• %All Users Profile%\DECRYPT.lnk ← %Windows%\dispci.exe のショートカットファイル
• {ドライブ文字}:\Readme.txt ← 身代金要求文書

マルウェアは、以下のファイルを作成し実行します。このファイルは、後に削除されます。

• %Windows%\infpub.dat

マルウェアは、以下の情報を収集します。

• ユーザ名
• パスワード

その他

マルウェアは以下を実行します。

• マルウェアはファイルを暗号化します。暗号化したファイルのファイル名は変更しません。 代わりに、暗号化したすべてのファイルの末尾に「encrypted」という文字列を追加します。
• マルウェアは、感染したシステムのマスターブートレコード（MBR）を上書きします。
• マルウェアは、以下のコマンドを実行します。
  • %System%\rundll32.exe %Windows%\infpub.dat,#1 15
  • %Windows%\{ランダムな16進値}.tmp \.\pipe\{GUID}
• マルウェアは、以下の「スケジュールされたタスク」を追加します。
  • rhaegal - システム起動時に "dispci.exe" を実行する
  • drogon - マルウェアが実行されてから18分後にシステムを再起動する
  • viserion_ {数字} - 特定の時間にシステムを再起動する

注意

このランサムウェアは、「Readme.txt」という身代金要求文書を作成します。身代金要求文書には、以下が含まれます。

システムを再起動すると、以下のメッセージが表示されます。

"DECRYPT.lnk" をクリックすると、以下のウィンドウが表示されます。

そして、身代金支払いサイトにアクセスすると、以下の情報が表示されます。