・配布方式：未確認

・MD5 : cafcd59a669cfb2c981fcb8b58d0d1aa

・検知名：Ransomware/Win.VOIDCRYPT.C4454770 (AhnLab V3), Ransom.Win32.VOIDCRYPT.SM (Trend Micro)

・ファイル暗号化パターン：.[tormented.soul@tuta.io][MJ-].bom

・悪性ファイル生成場所

– C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\.exe
– C:\ProgramData\IDk.txt
– C:\ProgramData\pkey.txt
– C:\ProgramData\prvkey<数字>.txt
– C:\ProgramData\prvkey<数字>.txt.key

・決済案内ファイル：C:\Users\Public\Desktop\<Randomファイル>

・主な特徴

– オフライン暗号化(Offline Encryption)
– Zeropadyptランサムウェア系
– Windows Firewall無力化(netsh advfirewall set currentprofile state off, netsh firewall set opmode mode=disable)
– タスクマネージャー無力化(DisableTaskmgr)
– 特定プロセス(msftesql.exe, mysqld.exe, mysqld-nt.exe, sqlagent.exe, sqlserver.exe, sqlwriter.exeなど)実行遮断
– 特定サービス(MSDTC, MSSQL$CONTOSO1, MSSQLSERVER, SQLBrowser, SQLSERVERAGENT, SQLWriter, vdsなど)中止
– システム復元無力化(bcdedit /set {default} bootstatuspolicy ignoreallfailures, bcdedit /set {default} recoveryenabled no, wbadmin delete catalog -quiet)

  このようなランサムウェア攻撃に備える商品はこちら