RANSOM_SOREBRECT.B

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

このマルウェアは、トレンドマイクロが2017年6月に確認した、身代金要求型不正プログラム（ランサムウェア）「SOREBRECT」の亜種です。ファイルを利用せず、コードインジェクション機能を備えています。このマルウェアに感染すると、ユーザは重要な文書やファイルを暗号化される可能性があります。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。 マルウェアは、実行後、自身を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• {folder of encrypted files}\!!! READ THIS - IMPORTANT !!!.txt - ransom note

マルウェアは、以下のプロセスを追加します。

• svchost.exe

マルウェアは、以下のプロセスにコードを組み込みます。

• svchost.exe - added process

ファイル感染

マルウェアは、以下の文字列を含むフォルダには感染しません。

• Windows
• Desktop

その他

マルウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• ipinfo.io

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}3nsydva3p2.onion/gate.php

マルウェアは、以下のファイル名を使用し、暗号化されたファイルを改称します。

• {original filename and extension}.aes_ni_0day

マルウェアは、実行後、自身を削除します。

マルウェアは、wevtutil.exeコマンドを利用して、すべてのWindowsイベントログを消去します。

マルウェアは、以下の文字列を含むサービスを終了します。

• Acronis VSS Provider
• AcronisAgent
• AcronisFS
• AcronisPXE
• AcrSch2Svc
• AdobeARMservice
• Altaro.Agent.exe
• Altaro.HyperV.WAN.RemoteService.exe
• Altaro.SubAgent.exe
• Altaro.UI.Service.exe
• AMS
• Apache2.2
• Apache2.4
• ARSM
• BackupExecAgentAccelerator
• BackupExecAgentBrowser
• BackupExecDeviceMediaService
• BackupExecJobEngine
• BackupExecManagementService
• BackupExecRPCService
• BCFMonitorService
• bedbg
• Browser
• cbVSCService11
• CertPropSvc
• CertSvc
• CobianBackup11
• ComarchAutomatSynchronizacji
• ComarchML
• ComarchUpdateAgentService
• CrashPlanService
• dashboardMD Sync
• DataCollectorSvc
• dbupdate
• dbupdatem
• DbxSvc
• DLOAdminSvcu
• DLOMaintenanceSvc
• DomainManagerProviderSvc
• EDBSRVR
• eXchange POP3 6.0
• FBSServer
• FBSWorker
• FirebirdGuardianDefaultInstance
• FirebirdServerDefaultInstance
• GenetecSecurityCenterMobileServer
• GenetecServer
• GenetecWatchdog
• KAORCMP999467066507407
• LMIRfsDriver
• LogisticsServicesHost800
• MELCS
• memcached Server
• MEMTAS
• MEPOCS
• MEPOPS
• MESMTPCS
• MicroMD AutoDeploy
• MicroMD Connection Service
• MICROMD72ONCOEMR
• MMS
• MsDtsServer
• MsDtsServer100
• MSExchangeADTopology
• MSExchangeAntispamUpdate
• MSExchangeEdgeSync
• MSExchangeFBA
• MSExchangeFDS
• MSExchangeImap4
• MSExchangeIS
• MSExchangeMailboxAssistants
• MSExchangeMailSubmission
• MSExchangeMonitoring
• MSExchangePop3
• MSExchangeRep
• MSExchangeRepl
• MSExchangeSA
• MSExchangeSearch
• MSExchangeServiceHost
• MSExchangeTransport
• MSExchangeTransportLogSearch
• msftesql$SBSMONITORING
• msftesql-Exchange
• MSSQL$ACRONIS
• MSSQL$BKUPEXEC
• MSSQL$MICROSOFT##SSEE
• MSSQL$MICROSOFT##WID
• MSSQL$PROBA
• MSSQL$SBSMONITORING
• MSSQL$SHAREPOINT
• MSSQL$SQL2005
• MSSQL$SQLEXPRESS
• MSSQL$VEEAMSQL2008R2
• MSSQLFDLauncher
• MSSQLFDLauncher$PROBA
• MSSQLFDLauncher$SBSMONITORING
• MSSQLFDLauncher$SHAREPOINT
• MSSQLSERVER
• MSSQLServerADHelper
• MSSQLServerADHelper100
• MSSQLServerOLAPService
• MSSQLSERVR
• MySQL
• MySQL56
• NAVSERVER
• ONCOEMR2MICROMD7
• PleskControlPanel
• PleskSQLServer
• plesksrv
• PopPassD
• postgresql-8.4
• postgresql-9.5
• PRIMAVERAWindowsService
• PrimaveraWS800
• PrimaveraWS900
• QBFCService
• QBVSS
• QuickBooksDB23
• QuickBooksDB25
• RBMS_OptimaBI
• RBSS_OptimaBI
• RemoteSystemMonitorService
• ReportServer
• SBOClientAgent
• ServerService
• sesvc
• ShadowProtectSvc
• SPAdminV4
• spiceworks
• SPSearch4
• SPTimerV3
• SPTrace
• SPTraceV4
• SPWriter
• SPWriterV4
• SQLAgent$PROBA
• SQLAgent$SBSMONITORING
• SQLAgent$SHAREPOINT
• SQLAgent$SQLEXPRESS
• SQLAgent$VEEAMSQL2008R2
• SQLBrowser
• SQLSERVERAGENT
• SQLWriter
• stc_raw_agent
• StorageNode
• swprv
• TeamViewer
• TTESCheduleServer800
• vds
• Veeam Backup and Replication Service
• Veeam Backup Catalog Data Service
• VeeamCatalogSvc
• VeeamCloudSvc
• VeeamDeploymentService
• VeeamMountSvc
• VeeamNFSSvc
• VeeamTransportSvc
• vmicvss
• vmms
• VSNAPVSS
• VSS
• W32Time
• W3SVC
• WinVNC4
• wsbexchange
• WSearch
• WseComputerBackupSvc
• WseEmailSvc
• WseHealthSvc
• WseMediaSvc
• WseMgmtSvc
• WseNtfSvc
• WseStorageSvc
• WSS_ComputerBackupProviderSvc
• WSS_ComputerBackupSvc
• zBackupAssistService
• ZWCService

マルウェアは、匿名通信システム「The Onion Router（Tor）」を利用して接続します。

マルウェアは、以下の情報を収集し、自身のサーバに報告します。

• コンピュータ名
• ユーザ名
• マルウェアのパス
• 新しい感染
• auth.txt と info.txt の内容

マルウェアが作成する以下のファイルは、脅迫状です。

• ＜暗号化されたファイルのフォルダ＞\READ ME ABOUT DECRYPTION.txt

脅迫状には以下が含まれています。