• Email
• Facebook
• Twitter
• Google+
• Linkedin

Ransom.Win32.SODINOKIBI.YABIJ

---

• マルウェアタイプ: 身代金要求型不正プログラム（ランサムウェア）
• 破壊活動の有無: なし
• 暗号化: はい
• 感染報告の有無: はい

---

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

---

  詳細

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\{Random}.bmp → used as wallpaper

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のプロセスを追加します。

• if -smode parameter is used (Restart the machine to Safe Mode with networking)
  • bcdedit /set {current} safeboot network

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\XMT0qpW
JgC = {Hex Values}

HKEY_LOCAL_MACHINE\SOFTWARE\XMT0qpW
CsUQ = {Hex Values}

HKEY_LOCAL_MACHINE\SOFTWARE\XMT0qpW
5XB29 = {Hex Values}

HKEY_LOCAL_MACHINE\SOFTWARE\XMT0qpW
6mna6tT = .{Ransomware Extension}

HKEY_LOCAL_MACHINE\SOFTWARE\XMT0qpW
OKDigiPr = {Hex Values}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
DefaultPassword = U1k$NEIq3c6Q → if -smode parameter is used

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\RunOnce
*Ponyaz = {Malware Path}\{Malware Name}.exe → if -smode parameter is used

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\RunOnce
*b2I0uo = bcdedit /deletevalue {current} safeboot → if -smode parameter is used

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
AutoAdminLogon = 1 → if -smode parameter is used

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
DefaultUserName = {username} → if -smode parameter is used

マルウェアは、以下のレジストリ値を変更し、デスクトップの壁紙を変更します。

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %User Temp%\{Random}.bmp

マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。

• 

プロセスの終了

マルウェアは、感染コンピュータ上で確認した以下のサービスを終了します。

• memtas
• sophos
• svc$
• vss
• backup
• mepocs
• veeam
• sql

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• ocssd
• mydesktopqos
• msaccess
• thunderbird
• mspub
• firefox
• sqbc oreservice
• visio
• winword
• excel
• synctime
• thebat
• oneno te
• tbirdconfig
• oracle
• infopath
• powerpnt
• isqlplussvc
• dbsnmp
• ocomm
• mydesktopservice
• dbeng50
• agntsvc
• encsvc
• xfssvccon
• steam
• ocautoupds
• wordpad
• sql
• outlook

情報漏えい

マルウェアは、以下の情報を収集します。

• Computer name
• User name
• Workgroup
• Processor
• Operating System
• System Architecture

その他

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\XMT0qpW

マルウェアは、以下を実行します。

• It wipes contents of the following folder: backup
• It empties recycle bin and deletes shadow copies
• It searches for files to encrypt in remote drives, fixed drives, removable drives, and network resources

マルウェアは、以下のパラメータを受け取ります。

• -silent → skips the following:
  • Termination of blacklisted processes and services
  • Removal of shadow copies
• -path → specifies directory to be encrypted
• -nolocal → avoids encrypting fixed and removable drives
• -nolan → avoids encrypting network and shared drives
• -fast → fast encryption mode
• -smode → executes ransomware routine on safe mode by:
  • modifying Winlogon registry:
    • to enable automatic logon
    • to set default username, domain name, and password
  • adding specific process to enable safeboot
  • shutting system down after

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• bootsect.bak
• ntuser.ini
• thumbs.db
• desktop.ini
• boot.ini
• ntldr
• bo otfont.bin
• ntuser.dat
• ntuser.dat.log
• iconcache.db
• autorun.inf

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• msocache
• windows.old
• google
• $windows.~bt
• perflogs
• application data
• boot
• tor browser
• mozilla
• program files (x86)
• program data
• program files
• intel
• system volume information
• appdata
• $recycle.bin
• windows
• $windows.~ws

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• {Original File Path and Name}.{Original Extension}.{Random characters}

マルウェアが作成する以下のファイルは、脅迫状です。

• {Ransomware Extension}-readme.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• cab
• ico
• dll
• msp
• themepack
• deskthemepack
• cur
• hlp
• spl
• ps1
• rom
• ldf
• shs
• bat
• scr
• icns
• ocx
• hta
• key
• lock
• cpl
• idx
• 386
• wpx
• nomedia
• msstyles
• mod
• diagcfg
• adv
• ani
• msi
• exe
• diagcab
• rtp
• bin
• theme
• mpa
• msu
• msc
• nls
• lnk
• ics
• icl
• diagpkg
• prf
• cmd
• com
• drv
• sys

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください