• Email
• Facebook
• Twitter
• Google+
• Linkedin

Ransom.Win32.SODINOKIBI.AUWUJDEK

---

• マルウェアタイプ: 身代金要求型不正プログラム（ランサムウェア）
• 破壊活動の有無: なし
• 暗号化: はい
• 感染報告の有無: はい

---

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

---

  詳細

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\{random characters}.bmp → Used as wallpaper

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のプロセスを追加します。

• powershell -e {base-64 encoded command} → Deletes Shadow Copies

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\B6CC837D-86BE-A32B-F1A9-2E0B99BA279D

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\Software\Facebook_Assistant
k8q = {hex values}

HKEY_LOCAL_MACHINE\Software\Facebook_Assistant
TiuD = {hex values}

HKEY_LOCAL_MACHINE\Software\Facebook_Assistant
TMjCE = {hex values}

HKEY_LOCAL_MACHINE\Software\Facebook_Assistant
bfWmiW = {hex values}

HKEY_LOCAL_MACHINE\Software\Facebook_Assistant
RFY8wJD = .{appended extension}

HKEY_LOCAL_MACHINE\Software\Facebook_Assistant
Ul4OFJ5S = {hex values}

マルウェアは、以下のレジストリ値を変更し、デスクトップの壁紙を変更します。

HKEY_CURRENT_USER\Control Panel\desktop
Wallpaper = %User Temp%\{random characters}.bmp

マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。

• 

プロセスの終了

マルウェアは、感染コンピュータ上で確認した以下のサービスを終了します。

• AcronisAgent
• AcrSch2Svc
• ARSM
• backup
• BackupExecAgentAccelerator
• BackupExecAgentBrowser
• BackupExecDiveciMediaService
• BackupExecJobEngine
• BackupExecManagementService
• BackupExecRPCService
• BackupExecVSSProvider
• bedbg
• CAARCUpdateSvc
• CASAD2DWebSvc
• memtas
• mepocs
• MSExchange
• MSExchange$
• MSSQL
• MSSQL$
• MVArmor
• MVarmor64
• PDVFSService
• sophos
• sql
• stc_raw_agent
• svc$
• veeam
• VeeamDeploymentService
• VeeamNFSSvc
• VeeamTransportSvc
• VSNAPVSS
• vss
• WSBExchange

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• agntsvc
• bedbh
• benetns
• bengien
• beserver
• CagService
• dbeng50
• dbsnmp
• DellSystemDetect
• encsvc
• EnterpriseClient
• excel
• firefox
• infopath
• isqlplussvc
• msaccess
• mspub
• mydesktopqos
• mydesktopservice
• ocautoupds
• ocomm
• ocssd
• onenote
• oracle
• outlook
• powerpnt
• pvlsvr
• raw_agent_svc
• sqbcoreservice
• sql
• steam
• synctime
• tbirdconfig
• thebat
• thunderbird
• VeeamDeploymentSvc
• VeeamNFSSvc
• VeeamTransportSvc
• visio
• vsnapvss
• vxmon
• winword
• wordpad
• xfssvccon

その他

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\Software\Facebook_Assistant

マルウェアは、以下を実行します。

• It checks for the system’s computer layout and terminates if it is any of the following:
  • Russian
  • Ukrainian
  • Belarusian
  • Tajik
  • Armenian
  • Azeri-Latin
  • Georgian
  • Kazakh
  • Kyrgyz-Cyrillic
  • Slovenian
  • Uzbek-Latin
  • Tatar
  • Romanian-Moldova
  • Russian-Moldova
  • Azeri-Cyrillic
  • Uzbek-Cyrillic
  • Syriac
  • Arabic-Syria
• It searches for files to encrypt in remote drives, fixed drives, removable drives, and network resources.
• It wipes the contents of the following folder(s):
  • back
  • bckp
  • backups
  • backup
  • archive
• It checks if the operating system is Windows Vista or above. If it is or above, it will then check if the current process has administrator privileges. If it doesn't, the malware will then run another instance of itself using the runas command to give the copy administrator privileges. It will then terminate itself.
• It checks if its privilege level is on SYSTEM level. If it is, it will impersonate the user that ran the first explorer.exe it has found.

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• bootfont.bin
• ntldr
• ntuser.ini
• ntuser.dat.log
• bootsect.bak
• autorun.inf
• boot.ini
• desktop.ini
• ntuser.dat
• thumbs.db
• iconcache.db

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• msocache
• intel
• system volume information
• application data
• tor browser
• program files (x86)
• programdata
• program files
• google
• perflogs
• windows.old
• $windows.~bt
• boot
• mozilla
• $windows.~ws
• $recycle.bin
• appdata

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .{random characters}

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted Directory}\{appended extension}-readme.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .386
• .adv
• .ani
• .bat
• .bin
• .cab
• .cmd
• .com
• .cpl
• .cur
• .deskthemepack
• .diagcab
• .diagcfg
• .diagpkg
• .dll
• .drv
• .exe
• .hlp
• .hta
• .icl
• .icns
• .ico
• .ics
• .idx
• .key
• .ldf
• .lnk
• .lock
• .mod
• .mpa
• .msc
• .msi
• .msp
• .msstyles
• .msu
• .nls
• .nomedia
• .ocx
• .prf
• .ps1
• .rom
• .rtp
• .scr
• .shs
• .spl
• .sys
• .theme
• .themepack
• .wpx

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください