• Email
• Facebook
• Twitter
• Google+
• Linkedin

Ransom.Win64.DIAVOL.YEBJL

---

• マルウェアタイプ: 身代金要求型不正プログラム（ランサムウェア）
• 破壊活動の有無: なし
• 暗号化: なし
• 感染報告の有無: はい

---

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

---

  詳細

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

プロセスの終了

マルウェアは、感染コンピュータ上で確認した以下のサービスを終了します。

• DefWatch
• ccEvtMgr
• ccSetMgr
• SavRoam
• dbsrv12
• sqlservr
• sqlagent
• Intuit.QuickBooks.FCS
• dbeng8
• QBIDPService
• Culserver
• RTVscan
• vmware-usbarbitator64
• vmware-converter
• VMAuthdService
• VMnetDHCP
• VMUSBArbService
• VMwareHostd
• SQLADHLP
• msmdsrv
• tomcat6
• QBCFMonitorService
• Acronis VSS Provider
• SQL Backups
• SQLsafe Backup Service
• SQLsafe Filter Service
• Symantec System Recovery
• Veeam Backup Catalog Data Service
• Zoolz 2 Service
• AcrSch2Svc
• BackupExecAgentAccelerator
• BackupExecAgentBrowser
• BackupExecDeviceMediaService
• BackupExecJobEngine
• BackupExecManagementService
• BackupExecRPCService
• BackupExecVSSProvider
• bedbg
• mozyprobackup
• ntrtscan
• PDVFSService
• SDRSVC
• SQLWriter
• VeeamBackupSvc
• VeeamBrokerSvc
• VeeamCatalogSvc
• VeeamCloudSvc
• VeeamDeploymentService
• VeeamDeploySvc
• VeeamEnterpriseManagerSvc
• VeeamHvIntegrationSvc
• VeeamMountSvc
• VeeamNFSSvc
• VeeamRESTSvc
• VeeamTransportSvc
• sms_site_sql_backup
• MsDtsServer
• MsDtsServer1
• MsDtsServer11
• msftesql$PROD
• MSOLAP$SQL_2
• MSOLAP$SYSTEM_BGC
• MSOLAP$TPS
• MSOLAP$TPSAMA
• MSSQL$BKUPEXEC
• MSSQL$ECWDB2
• MSSQL$PRACTICEMGT
• MSSQL$PRACTTICEBGC
• MSSQL$PROD
• MSSQL$PROFXENGAGEMENT
• MSSQL$SBSMONITORING
• MSSQL$SHAREPOINT
• MSSQL$SQL_2
• MSSQL$SQLEXPRESS
• MSSQL$SYSTEM_BGC
• MSSQL$TPS
• MSSQL$TPSAMA
• MSSQL$VEEAMSQL2
• MSSQL$VEEAMSQL2
• MSSQLFDLauncher
• MSSQLFDLauncher$PROFXENGAGEMENT
• MSSQLFDLauncher$SBSMONITORING
• MSSQLFDLauncher$SHAREPOINT
• MSSQLFDLauncher$SQL_2
• MSSQLFDLauncher$SYSTEM_BGC
• MSSQLFDLauncher$TPS
• MSSQLFDLauncher$TPSAMA
• MSSQLSERVER
• MSSQLServerADHelper
• MSSQLServerADHelper1
• MSSQLServerOLAPService
• MySQL57
• MySQL8
• OracleClientCache8
• ReportServer$SQL_2
• RESvc
• SQLAgent$BKUPEXEC
• SQLAgent$CITRIX_METAFRAME
• SQLAgent$CXDB
• SQLAgent$ECWDB2
• SQLAgent$PRACTTICEBGC
• SQLAgent$PRACTTICEMGT
• SQLAgent$PROD
• SQLAgent$PROFXENGAGEMENT
• SQLAgent$SBSMONITORING
• SQLAgent$SHAREPOINT
• SQLAgent$SQL_2
• SQLAgent$SQLEXPRESS
• SQLAgent$SYSTEM_BGC
• SQLAgent$TPS
• SQLAgent$TPSAMA
• SQLAgent$VEEAMSQL2
• SQLAgent$VEEAMSQL2
• SQLBrowser
• SQLSafeOLRService
• SQLSERVERAGENT
• SQLTELEMETRY
• SQLTELEMETRY$ECWDB2
• mssql$vim_sqlexp
• IISAdmin
• NetMsmqActivator
• POP3Svc
• SstpSvc
• UI
• W3Svc
• aphidmonitorservice
• intel(r) proset monitoring service
• unistoresvc_1af4
• audioendpointbuilder
• MSExchangeES
• MSExchangeIS
• MSExchangeMGMT
• MSExchangeMTA
• MSExchangeSA
• MSExchangeSRS
• msexchangeadtopology
• msexchangeimap4
• Sophos Agent
• Sophos AutoUpdate Service
• Sophos Clean Service
• Sophos Device Control Service
• Sophos File Scanner Service
• Sophos Health Service
• Sophos MCS Agent
• Sophos MCS Client
• Sophos Message Router
• Sophos Safestore Service
• Sophos System Protection Service
• Sophos Web Control Service
• AcronisAgent
• Antivirus
• DCAgent
• EhttpSrv
• EPSecurityService
• EPUpdateService
• EsgShKernel
• ESHASRV
• FA_Scheduler
• IMAP4Svc
• KAVFS
• KAVFSGT
• kavfsslp
• klnagent
• macmnsvc
• masvc
• MBAMService
• MBEndpointAgent
• McAfeeEngineService
• McAfeeFramework
• McAfeeFrameworkMcAfeeFramework
• McShield
• McTaskManager
• mfefire
• mfemms
• mfevtp
• MSSQL$SOPHOS
• sacsvr
• SAVAdminService
• SAVService
• SepMasterService
• ShMonitor
• Smcinst
• SmcService
• SntpService
• sophossps
• SQLAgent$SOPHsvcGenericHost
• swi_filter
• swi_service
• swi_update
• swi_update_64
• TmCCSF
• tmlisten
• TrueKey
• TrueKeyScheduler
• TrueKeyServiceHelWRSVC
• vapiendpoint

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• iexplore.exe
• msedge.exe
• chrome.exe
• opera.exe
• firefox.exe
• savfmsesp.exe
• zoolz.exe
• firefoxconfig.exe
• tbirdconfig.exe
• thunderbird.exe
• agntsvc.exe
• dbeng50.exe
• dbsnmp.exe
• isqlplussvc.exe
• msaccess.exe
• msftesql.exe
• mydesktopqos.exe
• mydesktopservice.exe
• mysqld-nt.exe
• mysqld-opt.exe
• mysqld.exe
• ocautoupds.exe
• ocssd.exe
• oracle.exe
• sqlagent.exe
• synctime.exe
• thebat.exe
• thebat64.exe
• encsvc.exe
• ocomm.exe
• xfssvccon.exe
• excel.exe
• infopath.exe
• mspub.exe
• onenote.exe
• outlook.exe
• powerpnt.exe
• visio.exe
• wordpad.exe
• cntaosmgr.exe
• mbamtray.exe
• ntrtscpccntmon.exe
• tmlisten.exe
• sqlmangr.exe
• ragui.exe
• qbcfmonitorservice.exe
• supervise.exe
• fdhost.exe
• culture.exe
• rtvscan.exe
• defwatch.exe
• wxserverview.exe
• gdscan.exe
• qbw32.exe
• qbdbmgr.exe
• qbupdate.exe
• axlbridge.exe
• 360se.exe
• 360doctor.exe
• qbidpservice.exe
• wxserver.exe
• httpd.exe
• fdlauncher.exe
• msdtsrvr.exe
• tomcat6.exe
• java.exe
• wdswfsafe.exe

情報漏えい

マルウェアは、以下の情報を収集します。

• Computer Name
• User Name
• OS Information

情報収集

マルウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://{Server Address}/{BLOCKED}pQwtjCA/register → if the -s {Server Address} command line parameter is used the address will be specified. If -s command line parameter is not used, the default address will be 127.0.0.1(localhost).

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}.{BLOCKED}.146.118/Bnyar8RsK04ug/{GUID} → will only send a HTTP GET request to the server if the register request returns a data.

マルウェアは、以下のパラメータを受け取ります。

• -p: path to a file with a list of paths to scan first for files
• -log: path to a log file
• -m: mode: net or local
  
  • net - encrypt network shares only
  • local - encrypt local drives only and ignore network shares
• -h: path to a file that contains specific hosts (names and IPs) to enumerate for shares
• -s: IP address that the initial register message will be sent to.

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• readme_for_decrypt.txt
• locker.txt
• unlocker.txt

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• %Windows%
• %Program Files%
• %User Temp%

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.. %Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .lock64

マルウェアが作成する以下のファイルは、脅迫状です。

• {Infected Directory}\README_FOR_DECRYPT.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .exe
• .sys
• .dll
• .lock64

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください