Ransom.Win32.DOPPELPAYMER.AC

2021年1月27日

解析者: Mohammed Malubay

別名:

Trojan:Win32/Dopplepaymer.KR!MTB(MICROSOFT);

プラットフォーム:

Windows

危険度:

ダメージ度:

感染力:

感染確認数:

情報漏えい:

マルウェアタイプ: 身代金要求型不正プログラム（ランサムウェア）
破壊活動の有無: なし
暗号化: はい
感染報告の有無: はい

概要

感染経路インターネットからのダウンロード, 他のマルウェアからの作成

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、バックドア活動の機能を備えていません。

マルウェアは、実行後、自身を削除します。

マルウェアは、情報収集する機能を備えていません。

詳細

ファイルサイズ 3,731,456 bytes

タイプ EXE

メモリ常駐はい

発見日 2020年8月11日

ペイロードファイルの暗号化, メッセージボックスの表示

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

%Application Data%\{Random Name} - dropped copy of itself
When ran with administrator privileges:
- %Application Data%\{Random}\{Dll Name from %System% directory}.dll - used to hijack processhacker via DLL side-loading and communicate with main malware process to terminate processes/services
- %Application Data%\{Random}\{Random Name 1} - detected as PUA.Win32.ProcHack.C
- %Application Data%\{Random}\{Random Name 2} - detected as PUA.Win32.ProcHack.B.component
- %System%\GroupPolicy\gpt.ini
When ran without administrator privileges:
- %Application Data%\{Random Name}\{Random Name}.exe - dropped copy of itself

マルウェアは、以下のプロセスを追加します。

%Application Data%\{Random Name} {argument to execute} {Malware Filename}
When ran with administrative privileges:
- %System%\bcedit.exe /set {default} safeboot minimal
- %System%\bcedit.exe /set default recoveryenabled no
- %System%\vssadmin.exe Delete Shadows /All /Quiet - delete shadow copy
- %Application Data%\{Random}\{Random Name 1} {Random Name 2} 1337039642
When ran without administrative privileges:
- %System%\icacls.exe "{Folder Path}" /grant:r Everyone:F /t /c /q - grant permission to access the directory specified in {Folder Path}

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{Random} = %Application Data%\{Random Name}\{Random Name}.exe

他のシステム変更

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
LegalNoticeCaption = Your network was hacked. Your ID: {ID}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
LegalNoticeText = Your network was hacked. Your ID: {ID} DO NOT RESET OR SHUTDOWN your PC or server. DO NOT RENAME/ MOVE/ DELETE the encrypted and readme files. Info: http://{BLOCKED}kyd.onion/order/{BLOCKED} {BLOCKED}@protonmail.com If you decide not to cooperate your sensitive data will be shared to public at http://{BLOCKED}6qnwad.onion and all the rest will remain unreachable to you.

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、バックドア活動の機能を備えていません。

ルートキット機能

マルウェアは、ルートキット機能を備えていません。

アドウェア活動

マルウェアは、実行後、自身を削除します。

情報漏えい

マルウェアは、情報収集する機能を備えていません。

その他

マルウェアは、以下を実行します。

When ran with administrator privileges, it will do the following:
- It tries to look for services running in the machine and tries to disable some of them. Below are some of the services it tries to disable:
  - NetMsmqActivator
  - SDRSVC
  - SstpSvc
  - StorSvc
  - swprv
  - wbengine
  - UI0Detect
- Based on the services it tries to look for in the machine, it will try to take ownership of this service using the following command:
  - %System%\takeown.exe /F %System%\{file name}.exe
  - %System%\icacls.exe %System%\{file name}.exe /reset
  - It will then rename the original file name to {file name}.exe-0, and replace the original file with its copy.
- It renames the following file when found in the machine:
  - %Windows%\Microsoft.NET\Framework64\v4.0.30319\SMSvcHost.exe renamed to %Windows%\Microsoft.NET\Framework64\v4.0.30319\SMSvcHost.exe_
When ran without administrator privileges, it will do the following:
- It will only install its autorun registry when ran without administrative privileges
It requires to be executed with a specific argument in order to proceed with its malicious routine. It is also used to determine additional functionalities of the sample.
It uses the following information to generate random characters for the file name it will drop:
- Computer Name
It enumerates registry keys to gather system information
It will encrypt files found in the following set of drives in the affected system:
- Network Drives
- Fixed Drives
- Removable Drives
It uses the following set of commands to gather the network drives connected to the system and connect to the following network drives to encrypt it's files:
- %System%\net.exe view igmp.mcast.net
- %System%\arp.exe -a
- %System%\nslookup.exe {IP address}

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、脆弱性を利用した感染活動を行いません。

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

*.chm
*.CHM
*.cmd
*.CMD
*.hlf
*.HLF
*.ico
*.ICO
*.inf
*.INF
*.ini
*.INI
*.lng
*.LNG
*.lnk
*.LNK
*.msi
*.MSI
*.sys
*.SYS
*.ttf
*.TTF
default.rdp
NTUSER.DA*
RacWmi*.sdf
schre*.bat
svsho*.exe
V01.ch*
V01.lo*
V01res*.jrs
Web*V01.dat

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

$RECYCLE.BIN
$Recycle.Bin
Caches
System Volume Information
VirtualStore
WebCache

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

.doppeled

注意：

マルウェアは、コンピュータをセーフモードで再起動し、ユーザがログインできないようにします。

マルウェアが作成する以下のファイルは、脅迫状です。

{暗号化されたファイル名}.how2decrypt.txt

＜補足＞
インストール

マルウェアは、以下のファイルを作成します。

%Application Data%\{ランダムな名前} → 作成された自身のコピー
管理者権限ありで実行された場合：
- %Application Data%\{ランダム}\{%System%ディレクトリからのDll名}.dll
- %Application Data%\{ランダム}\{ランダムな名前1} → 「PUA.Win32.ProcHack.C」として検出
- %Application Data%\{ランダム}\{ランダムな名前2} →「PUA.Win32.ProcHack.B.component」として検出
- %System%\GroupPolicy\gpt.ini
管理者権限なしで実行された場合：
- %Application Data%\{ランダムな名前}\{ランダムな名前}.exe → 作成された自身のコピー

マルウェアは、以下のプロセスを追加します。

%Application Data%\{ランダムな名前} {実行する引数} {マルウェアのファイル名}
管理者権限ありで実行された場合：
- %System%\bcedit.exe /set {デフォルト} safeboot minimal
- %System%\bcedit.exe /set default recoveryenabled no
- %System%\vssadmin.exe Delete Shadows /All /Quiet → シャドウコピーの削除
- %Application Data%\{ランダム}\{ランダムな名前1} {ランダムな名前2} 1337039642
管理者権限なしで実行された場合：
- %System%\icacls.exe "{フォルダパス}" /grant:r Everyone:F /t /c /q → {フォルダパス}内の特定のディレクトリへのアクセス権の付与

Ransom.Win32.DOPPELPAYMER.AC

概要

詳細

対応方法