・配布方式 : 遠隔デスクトッププロトコル(RemoteDesktopProtocol、RDP)およびターミナルサービスによる遠隔接続

・MD5 : 315aaf1f0128e50999fd5b82949a9267

・検知名 : Ransom.FileCryptor(Malwarebytes)、Trojan:MSIL/AgentTesla.KA!MTB(Microsoft)

・ファイル暗号化パターン : .mallox

・悪性ファイル生成場所

– C:\Users\%UserName%\AppData\Local\Temp\AdvancedRun.exe

– C:\Users\%UserName%\AppData\Local\Temp\Blffpekna.vbs

– C:\Users\%UserName%\AppData\Local\Temp\MSBuild.exe

– C:\Users\%UserName%\AppData\Local\Temp\Yubhigusnhbrkitykwictqkill$.bat

・決済案内ファイル : HOWTORECOVER!!!TXT / RECOVERY INFORMATION.txt

・特徴
– オフライン暗号化(OfflineEncryption)

– Oppoランサムウェア系

– Microsoft .NETFramework正常ファイル(%Temp%\MSBuild.exe)を利用した暗号化

– WindowsDefenderワクチンの無力化

– 特定プロセス（fdhost.exe、httpd.exe、java.exe、reportingservicesservice.exe、softmgrlite.exe、sqlservr.exeなど）実行ブロック

– 特定サービス（MSSQLFDLauncher、QcSoftService、SQLBrowser、SQLSERVERAGENT、SQLWriter、VMToolsなど）を削除

– 特定サービス（Apache2.4、HaoZipSvc、igfxCUIService2.0.0、memcachedServer、MSComplianceAudit、U8WorkerService1など）中止

– システム復元無力化(vssadmin.exedeleteshadows/all/quiet,bcdedit/set{current}bootstatuspolicyignoreallfailures,bcdedit/set{current}recoveryenabledno)