映像
様々なランサムウェアに対応するAppCheckの事前防御、自動復旧およびリアルタイムバックアップ機能を映像でご確認いただけます。
- 配布方式 : 未確認
- MD5 : dd57632c90ca46b42d00335c42215a87
- 主な検出名 : Ransom:MSIL/Hardbit.SK!MTB (Microsoft), Ransom.Hardbit (Norton)
- ファイル暗号化パターン : <Random>.[id-<Random>].[legion@tfwno.gf].hardbit3
- 悪性ファイルの生成場所 :
- C:\Users\%UserName%\AppData\Local\Temp\sd.vbs
- C:\Users\%UserName%\AppData\Local\Temp\sd2.vbs
- C:\Users\%UserName%\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\svchost.exe
- C:\Users\%UserName%\AppData\Roaming\Microsoft\Windows\Templates\hrdb.ico
- C:\Help_me_for_Decrypt.hta
- メッセージファイル : Help_me_for_Decrypt.hta / How To Restore Your Files.txt
- 主な特徴 :
- オフライン暗号化(Offline Encryption)
- Disable Microsoft Defender
- Stop multi services(EraserSvc11710, macmnsvc, PDVFSService, Sophos Device Control Service, SQLAgent$SYSTEM_BGC, Zoolz 2 Service etc.)
- Delete multi services (MsDtsServer130, MSSQLFDLauncher, ReportServer, storflt, TMBMServer, vmickvpexchange, VSS etc.)
- 特定サービス(MsDtsServer130, MSSQLFDLauncher, ReportServer, storflt, TMBMServer, vmickvpexchange, VSSなど)の削除
- Disable system restore(vssadmin Delete Shadows /all /quiet, wbadmin delete catalog -quiet, wmic shadowcopy delete, bcdedit /set {default} bootstatuspolicy ignoreallfailures, bcdedit /set {default} recoveryenabled no)
- 暗号化されたファイル(.hardbit3)のアイコン変更(HKEY_CLASSES_ROOT\.hardbit3)
- デスクトップ背景(C:\Users\%UserName%\Desktop\HARDBIT.jpg)の変更