• Email
• Facebook
• Twitter
• Google+
• Linkedin

Ransom.PS1.SODINOKIBI.A

---

• マルウェアタイプ: 身代金要求型不正プログラム（ランサムウェア）
• 破壊活動の有無: なし
• 暗号化: はい
• 感染報告の有無: はい

---

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

---

  詳細

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\{random characters}.bmp → used as wallpaper

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のプロセスを追加します。

• powershell.exe -e {base-64 encoded command} → used to delete shadow copies

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\GitForWindows
9jR = "{hex values}"

HKEY_CURRENT_USER\Software\GitForWindows
s0Sl = "{hex values}"

HKEY_CURRENT_USER\Software\GitForWindows
Fawve = "{hex values}"

HKEY_CURRENT_USER\Software\GitForWindows
JT2I4d = "{hex values}"

HKEY_CURRENT_USER\Software\GitForWindows
mcTFXtA = ".{random characters}"

HKEY_CURRENT_USER\Software\GitForWindows
Vb09CACg = "{hex values}"

マルウェアは、以下のレジストリ値を変更し、デスクトップの壁紙を変更します。

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %User Temp%\{random characters}.bmp

マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。

• 

プロセスの終了

マルウェアは、感染コンピュータ上で確認した以下のサービスを終了します。

• svc$
• mepocs
• vss
• memtas
• sql
• veeam
• sophos
• backup

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• mysql

情報漏えい

マルウェアは、以下の情報を収集します。

• User Name
• Computer Name
• Workgroup
• Systems Architecture
• Operating System
• Processor Information

その他

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\GitForWindows

マルウェアは、以下を実行します。

• It checks for the system’s computer layout and terminates if it is any of the following:
  • Russian
  • Ukrainian
  • Belarusian
  • Tajik
  • Armenian
  • Azeri Latin
  • Georgian
  • Kazakh
  • Kyrgyz
  • Turkmen
  • Uzbek Latin
  • Tatar
  • Romanian
  • Azerbaijani
  • Uzbek
  • Syriac
  • Arabic Syria
• It searches for files to encrypt in remote drives, fixed drives, removable drives, and network resources.

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• ntuser.ini
• desktop.ini
• boot.ini
• thumbs.db
• ntldr
• bootfont.bin
• autorun.inf
• iconcache.db
• bootsect.bak
• ntuser.dat
• ntuser.dat.log

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• intel
• google
• mozilla
• perflogs
• windows.old
• $windows.~ws
• boot
• programdata
• $windows.~bt
• windows
• msocache
• system volume information
• appdata
• application data
• $recycle.bin
• tor browser
• program files
• program files (x86)

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .{random characters}

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Directory}\{random characters}-readme.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .386
• .adv
• .ani
• .bat
• .bin
• .cab
• .cmd
• .com
• .cpl
• .cur
• .deskthemepack
• .diagcab
• .diagcfg
• .diagpkg
• .dll
• .drv
• .exe
• .hlp
• .hta
• .icl
• .icns
• .ico
• .ics
• .idx
• .key
• .ldf
• .lnk
• .lock
• .mod
• .mpa
• .msc
• .msi
• .msp
• .msstyles
• .msu
• .nls
• .nomedia
• .ocx
• .prf
• .ps1
• .rom
• .rtp
• .scr
• .shs
• .spl
• .sys
• .theme
• .themepack
• .wpx

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください