• Email
• Facebook
• Twitter
• Google+
• Linkedin

Ransom.Win32.MEDUSALOCKER.H

---

• マルウェアタイプ: 身代金要求型不正プログラム（ランサムウェア）
• 破壊活動の有無: なし
• 暗号化: なし
• 感染報告の有無: はい

---

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

特定のフォルダ内のファイルを暗号化します。 身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

---

  詳細

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\svhost.exe

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のプロセスを追加します。

• vssadmin.exe Delete Shadows /All /Quiet
• bcdedit.exe /set {default} recoveryenabled No
• bcdedit.exe /set {default} bootstatuspolicy ignoreallfailures
• wbadmin DELETE SYSTEMSTATEBACKUP
• wbadmin DELETE SYSTEMSTATEBACKUP -deleteOldest
• wmic.exe SHADOWCOPY /nointeractive

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• {8761ABBD-7F85-42EE-B272-A76179687C63}

他のシステム変更

マルウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\MDSLK
Self = {Malware Filename}.exe

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000
Owner = {Hex Values}

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000
SessionHash = {Hex Values}

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000
Sequence = {Value}

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000
RegFiles0000 = {Target Filename}

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000
RegFilesHash = {Hex Value}

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0001
Owner = {Hex Values}

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0001
SessionHash = {Hex Values}

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0001
Sequence = {Value}

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0001
RegFiles0000 = {Target Filename}

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0001
RegFilesHash = {Hex Value}

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
ConsentPromptBehaviorAdmin = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
EnableLUA = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
EnableLinkedConnections = 1

プロセスの終了

マルウェアは、感染コンピュータ上で確認した以下のサービスを終了します。

• wrapper
• DefWatch
• ccEvtMgr
• ccSetMgr
• SavRoam
• sqlservr
• sqlagent
• sqladhlp
• Culserver
• RTVscan
• sqlbrowser
• SQLADHLP
• QBIDPService
• Intuit.QuickBooks.FCS
• QBCFMonitorService
• sqlwriter
• msmdsrv
• tomcat6
• zhudongfangyu
• SQLADHLP
• vmware-usbarbitator64
• vmware-converter
• dbsrv12
• dbeng8

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• wxServer.exe
• wxServerView
• sqlservr.exe
• sqlmangr.exe
• RAgui.exe
• supervise.exe
• Culture.exe
• RTVscan.exe
• Defwatch.exe
• sqlbrowser.exe
• winword.exe
• QBW32.exe
• QBDBMgr.exe
• qbupdate.exe
• QBCFMonitorService.exe
• axlbridge.exe
• QBIDPService.exe
• httpd.exe
• fdlauncher.exe
• MsDtSrvr.exe
• tomcat6.exe
• java.exe
• 360se.exe
• 360doctor.exe
• wdswfsafe.exe
• fdlauncher.exe
• fdhost.exe
• GDscan.exe
• ZhuDongFangYu.exe

その他

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\MDSLK

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0001

マルウェアは、以下を実行します。

• It ensures that it is executed with administrative privileges
• It affects all existing drives in the system
• It encrypts files from network shares
• It empties the Recycle Bin

以下のスケジュールされたタスクを追加します：

• Task Name: svhost
  • Action: Start a program %Application Data%\svchost.exe
  • Trigger: At 3:19 PM every day - After triggered, repeat every 15 minutes indefinitely

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

ランサムウェアの不正活動

マルウェアは、以下のディレクトリ内で確認されたファイルを暗号化します。

• Program Files\Microsoft\Exchange Server
• Program Files (x86)\Microsoft\Exchange Server
• Program Files\Microsoft SQL Server
• Program Files (x86)\Microsoft SQL Server

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• %All Users Profile%
• %Application Data%
• %Program Files%
• %Sytem Root%\Users\All Users
• %User Profile%
• %Windows%
• \intel
• \nvidia

(註：%All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。. %User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• {Original Filename}.{Original File Extension}.netvnlock

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Directory}\Recovery_Instructions.html
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .exe
• .dll
• .sys
• .ini
• .lnk
• .rdp
• .encrypted
• .READINSTRUCTIONS
• .recoverme
• .Readinstructions
• .hivteam
• .hiv
• .386
• .adv
• .ani
• .bat
• .bin
• .cab
• .cmd
• .com
• .cpl
• .cur
• .deskthemepack
• .diagcab
• .diagcfg
• .diagpkg
• .drv
• .hlp
• .icl
• .icns
• .ico
• .ics
• .idx
• .ldf
• .log
• .mod
• .mpa
• .msc
• .msp
• .msstyles
• .msu
• .nls
• .nomedia
• .ocx
• .prf
• .ps1
• .rom
• .rtp
• .scr
• .shs
• .spl
• .theme
• .themepack
• .wpx
• .lock
• .key
• .hta
• .msi
• .enc
• .deadfiles
• .lockernetwork
• .monster
• .NETFULL
• .shanghai
• .support
• .DE
• .netlock
• .BR
• .LOCK
• .shanghai2
• .monster
• .MY
• .GR
• .ID
• .MA
• .HU
• .IN
• .BG
• .titan
• .cryptocrypto
• .dodik
• .shanghai3
• .TW
• .shanghai4
• .AU
• .lockes
• .DEDE
• .RS
• .local
• .shanghai5
• .shanghai6
• .shanghai7
• .locklock
• .AULOCK
• .FRFR
• .lockers
• .PedroChicken
• .DogUlitos
• .datalock
• .stopfiles
• .viets
• .ILLOCK
• .GBLOCK
• .lokes
• .KRLOCK
• .KRLOCK2
• .KRLOCK3
• .KRLOCK4
• .shanghai8
• .sglock
• .shanghai9
• .shan
• .EG
• .grgr
• .locks
• .CN
• .CN2
• .cnlock
• .netlock
• .netlock2
• .vikings
• .usus
• .lockfilesus
• .creepers
• .shanghaiX
• .kwlock
• .mzlock
• .lklock
• .zoomzoom
• .lockfiles
• .shanghai11pro
• .wtf
• .diablo
• .nett
• .lock
• .de
• .IL
• .cn
• .batman
• .valhalla
• .mx
• .barracuda
• .scheisse
• .EG
• .IT
• .kw
• .fr
• .babadook
• .tw
• .us
• .Readinstructions
• .KR
• .kimchin
• .help
• .lt
• .us
• .skynet
• .au
• .ZA
• .AR
• .dolock
• .uslock
• .zalock
• .detrov
• .illock
• .eglock
• .deadfiles
• .uslock
• .mxlock
• .twlock
• .calock
• .vampire
• .velock
• .hklock
• .adlock
• .hulock
• .thlock
• .uslockk
• .twlock
• .cnnlockk
• .idlock
• .netus
• .netus2
• .nettw
• .netmelock
• .netpklock2
• .netchlock
• .netuslock
• .snailhelp
• .netphlock
• .nettrlock
• .netvnlock
• .csv
• .sql
• .mdf
• .NDF
• .SQLITEDB
• .DDL
• .SQLITE
• .SQLITE3
• .LDF
• .EDB
• .FDB
• .FBK
• .DBF

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください