Ransom.Win32.SODINOKIBI.ZTID
N/A
Windows
- マルウェアタイプ: 身代金要求型不正プログラム（ランサムウェア）
- 破壊活動の有無: なし
- 暗号化: はい
- 感染報告の有無: はい
概要
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。
身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。
詳細
侵入方法
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
マルウェアは、以下のマルウェアに作成され、コンピュータに侵入します。
インストール
マルウェアは、以下のファイルを作成します。
- %User Temp%\{Random Characters}.bmp → used as wallpaper
(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)
マルウェアは、以下のプロセスを追加します。
- bcdedit /set {current} safeboot network → if -smode parameter is used (Safe boot with networking)
マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。
- Global\F69C27FF-AB15-CCAA-A2D6-7F7ADA90E7E3
他のシステム変更
マルウェアは、以下のレジストリ値を追加します。
HKEY_LOCAL_MACHINE\SOFTWARE\BlackLivesMatter
54k = {Hex Values}
HKEY_LOCAL_MACHINE\SOFTWARE\BlackLivesMatter
aOwO = {Hex Values}
HKEY_LOCAL_MACHINE\SOFTWARE\BlackLivesMatter
Krdfp = {Hex Values}
HKEY_LOCAL_MACHINE\SOFTWARE\BlackLivesMatter
hq0G6X = {Hex Values}
HKEY_LOCAL_MACHINE\SOFTWARE\BlackLivesMatter
x4WHjRs = {Appended Extension}
HKEY_LOCAL_MACHINE\SOFTWARE\BlackLivesMatter
XFx41h1r = {Hex Values}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\RunOnce
*AstraZeneca = %User Temp%\MsMpEng.exe → if -smode parameter is used
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\RunOnce
*MarineLePen = bcdedit /deletevalue {current} safeboot → if -smode parameter is used (turns off safe mode)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
AutoAdminLogon = 1 → if -smode parameter is used
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
DefaultUserName = {current user's username} → if -smode parameter is used
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
DefaultPassword = DTrump4ever → if -smode parameter is used
マルウェアは、以下のレジストリ値を変更し、デスクトップの壁紙を変更します。
HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %User Temp%\{Random Characters}.bmp
マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。
プロセスの終了
マルウェアは、感染コンピュータ上で確認した以下のサービスを終了します。
- backup
- memtas
- mepocs
- sophos
- sql
- svc$
- veeam
- vss
マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。
- agntsvc
- allegro
- cad
- cadence
- creoagent
- dbeng50
- dbsnmp
- encsvc
- excel
- firefox
- infopath
- isqlplussvc
- msaccess
- mspub
- mydesktopqos
- mydesktopservice
- ocautoupds
- ocomm
- ocssd
- onenote
- oracle
- orcad
- outlook
- powerpnt
- pro_comm_msg
- sqbcoreservice
- sql
- steam
- synctime
- tbirdconfig
- thebat
- thunderbird
- visio
- winword
- wordpad
- xfssvccon
- xtop
情報漏えい
マルウェアは、以下の情報を収集します。
- Computer name
- User name
- Workgroup
- Processor
- Operating System
- System Architecture
その他
マルウェアは、以下のレジストリキーを追加します。
HKEY_LOCAL_MACHINE\SOFTWARE\BlackLivesMatter
マルウェアは、以下を実行します。
- It will terminate itself if the affected system's keyboard layout is any of the following:
- Arabic-Syria
- Armenian-Armenia
- Azerbaijani (Cyrillic)-Azerbaijan
- Azerbaijani (Latin)-Azerbaijan
- Belarusian
- Georgian-Georgia
- Kazakh-Kazakhstan
- Kyrgyz-Kyrgyzstan
- Romanian-Moldova
- Russian
- Russian-Moldova
- Syriac - Syria
- Tajikistan - Tajik (Cyrillic)
- Tatar-Russia
- Turkmen-Turkmenistan
- Ukrainian
- Uzbek (Cyrillic) - Uzbekistan
- Uzbek (Latin)-Uzbekistan
- It wipes the contents of the following folder:
- backup
- It searches for files to encrypt in remote drives, fixed drives, removable drives, and network resources.
- It does the following if -smode parameter is used:
- It changes the current user's password to DTrump4ever
- It enables automatic logon
- It changes the default username to the current user's username
- It changes the default password to DTrump4ever
マルウェアは、以下のパラメータを受け取ります。
- -silent → skips the following:
- Termination of blacklisted processes and services
- Removal of shadow copies
- -path → specifies directory to be encrypted
- -nolocal → avoids encrypting fixed and removable drives
- -nolan → avoids encrypting network and shared drives
- -fast → fast encryption mode
- -smode → executes ransomware routine on safe mode
ランサムウェアの不正活動
マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。
- autorun.inf
- boot.ini
- bootfont.bin
- bootsect.bak
- desktop.ini
- iconcache.db
- ntldr
- ntuser.dat
- ntuser.dat.log
- ntuser.ini
- thumbs.db
マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。
- $windows.~bt
- $windows.~ws
- appdata
- application data
- boot
- intel
- mozilla
- msocache
- perflogs
- program files
- program files (x86)
- programdata
- system volume information
- tor browser
- windows
- windows.old
マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。
- .{Random Characters}
マルウェアが作成する以下のファイルは、脅迫状です。
- {Encrypted Directory}\{Appended Extension}-read.txt
以下のファイル拡張子を持つファイルについては暗号化しません：
- .386
- .adv
- .ani
- .bat
- .bin
- .cab
- .cmd
- .com
- .cpl
- .cur
- .deskthemepack
- .diagcab
- .diagcfg
- .diagpkg
- .dll
- .drv
- .exe
- .hlp
- .hta
- .icl
- .icns
- .ico
- .ics
- .idx
- .key
- .ldf
- .lnk
- .lock
- .mod
- .mpa
- .msc
- .msi
- .msp
- .msstyles
- .msu
- .nls
- .nomedia
- .ocx
- .prf
- .ps1
- .rom
- .rtp
- .scr
- .shs
- .spl
- .sys
- .theme
- .themepack
- .wpx
<補足>
侵入方法
マルウェアは、以下のマルウェアに作成され、コンピュータに侵入します。
-
Trojan.Win32.SODINSTALL.ZTID
- %User Temp%\{ランダムな文字列}.bmp → 壁紙として使用される
- bcdedit /set {カレント} safeboot network → パラメータ「-smode」が使用された場合（ネットワークを使用したセーフブート）
- コンピュータ名
- ユーザ名
- ワークグループ
- プロセッサ
- オペレーティングシステム（OS）
- システムアーキテクチャ
- 影響を受けるコンピュータのキーボードの配置が以下のいずれかの場合、自身の不正活動を終了します。
- アラビア語 - シリア
- アルメニア語 - アルメニア
- アゼルバイジャン語（キリル文字表記） - アゼルバイジャン
- アゼルバイジャン語（ラテン文字表記） - アゼルバイジャン
- ベラルーシ語
- グルジア語 - ジョージア
- カザフ語 - カザフスタン
- キルギス語 - キルギスタン
- ルーマニア語 - モルドバ
- ロシア語
- ロシア語 - モルドバ
- シリア語 - シリア
- タジク語 - タジキスタン (キリル文字表記)
- タタール語 - ロシア
- トルクメン語 - トルクメニスタン
- ウクライナ語
- ウズベク語（キリル文字表記） - ウズベキスタン
- ウズベク語 (ラテン文字表記) - ウズベキスタン
- 以下のフォルダの内容を消去（ワイプ）します。
- backup
- リモートドライブ、固定ドライブ、リムーバブルドライブ、およびネットワークリソース内で暗号化するファイルを検索します。
- パラメータ「-smode」が使用された場合、以下を実行します。
- 現在ログオンしているユーザのパスワードをDTrump4everに変更する
- 自動ログオンを有効にする
- デフォルトのユーザ名を現在ログオンしているユーザのユーザ名に変更する
- デフォルトのパスワードをDTrump4everに変更する
マルウェアは、以下のパラメータを受け取ります。
- -silent → 以下をスキップします。
- ブラックリストに登録されたプロセスおよびサービスの終了
- シャドウコピーの削除
- -path → 暗号化対象のディレクトリを指定する
- -nolocal → 固定ドライブおよびリムーバブルドライブの暗号化を行わない
- -nolan → ネットワークドライブおよび共有ドライブの暗号化を行わない
- -fast → 高速暗号化モード
- -smode → セーフモードでランサムウェアの不正活動を実行する
対応方法
対応検索エンジン: 9.800初回 VSAPI パターンバージョン 16.654.04初回 VSAPI パターンリリース日 2021年4月13日VSAPI OPR パターンバージョン 16.655.00VSAPI OPR パターンリリース日 2021年4月14日手順 1
Windows 7、Windows 8、Windows 8.1、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 2
このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。
手順 3
Windowsをセーフモードで再起動します。
[ 詳細 ]手順 4
このレジストリ値を削除します。
[ 詳細 ]警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。- In HKEY_LOCAL_MACHINE\SOFTWARE\BlackLivesMatter
- 54k = {Hex Values}
- 54k = {Hex Values}
- In HKEY_LOCAL_MACHINE\SOFTWARE\BlackLivesMatter
- aOwO = {Hex Values}
- aOwO = {Hex Values}
- In HKEY_LOCAL_MACHINE\SOFTWARE\BlackLivesMatter
- Krdfp = {Hex Values}
- Krdfp = {Hex Values}
- In HKEY_LOCAL_MACHINE\SOFTWARE\BlackLivesMatter
- hq0G6X = {Hex Values}
- hq0G6X = {Hex Values}
- In HKEY_LOCAL_MACHINE\SOFTWARE\BlackLivesMatter
- x4WHjRs = {Appended Extension}
- x4WHjRs = {Appended Extension}
- In HKEY_LOCAL_MACHINE\SOFTWARE\BlackLivesMatter
- XFx41h1r = {Hex Values}
- XFx41h1r = {Hex Values}
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
- *AstraZeneca = %User Temp%\MsMpEng.exe
- *AstraZeneca = %User Temp%\MsMpEng.exe
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
- *MarineLePen = bcdedit /deletevalue {current} safeboot
- *MarineLePen = bcdedit /deletevalue {current} safeboot
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
- AutoAdminLogon = 1
- AutoAdminLogon = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
- DefaultUserName = {current user's username}
- DefaultUserName = {current user's username}
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
- DefaultPassword = DTrump4ever
- DefaultPassword = DTrump4ever
手順 5
このレジストリキーを削除します。
[ 詳細 ]警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。- HKEY_LOCAL_MACHINE\SOFTWARE\BlackLivesMatter
手順 6
以下のファイルを検索し削除します。
[ 詳細 ]コンポーネントファイルが隠しファイル属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。- %User Temp%\{Random Characters}.bmp
- {Encrypted Directory}\{Appended Extension}-read.txt
手順 7
デスクトッププロパティを修正します。
[ 詳細 ]手順 8
コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「Ransom.Win32.SODINOKIBI.ZTID」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
手順 9
暗号化されたファイルをバックアップから復元します。
ご利用はいかがでしたか？ アンケートにご協力ください
インストール
マルウェアは、以下のファイルを作成します。
マルウェアは、以下のプロセスを追加します。
情報漏えい
マルウェアは、以下の情報を収集します。
その他
マルウェアは、以下を実行します。