映像
様々なランサムウェアに対応するAppCheckの事前防御、自動復旧およびリアルタイムバックアップ機能を映像でご確認いただけます。
- 配布方式 : リモートデスクトッププロトコル(RDP)またはリモートプログラムを利用した接続方式
- MD5 : 9f3ea1850f9d879de8a36dc778dfffba
- 主な検出名 : Gen:Variant.Ransom.Crysis.67 (BitDefender), Ransom_CRYSIS.THAAOGAH (Trend Micro)
- ファイル暗号化パターン : .id-<Random>.[xtron@cock.li].tron
- 悪性ファイルの生成場所 :
- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\<Random>.exe
- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta
- C:\Users\%UserName%\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\<Random>.exe
- C:\Users\%UserName%\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta
- C:\Users\%UserName%\AppData\Roaming\<Random>.exe
- C:\Users\%UserName%\AppData\Roaming\Info.hta
- C:\Users\%UserName%\Desktop\FILES ENCRYPTED.txt
- C:\Users\Public\Desktop\FILES ENCRYPTED.txt
- C:\Windows\System32\<Random>.exe
- C:\Windows\System32\Info.hta
- <ドライブ文字>:\FILES ENCRYPTED.txt
- メッセージファイル : FILES ENCRYPTED.txt / Info.hta
- 主な特徴 :
- オフライン暗号化（Offline Encryption)
- Dharma / Phobos / Troldesh 系列のランサムウェア
- C:\Windows\System32\msiexec.exe + C:\Windows\SysWOW64\msiexec.exeのシステムファイルを利用したファイルの暗号化
- 特定のプロセス（1cv77.exe, mysqld.exe, mysqld-nt.exe, outlook.exe, postgres.exe, sqlservr.exeなど）の実行を遮断
- 特定のサービス（mssqlserver, sqlserveradhelper, sqlwriterなど）の停止
- システム復元の無効化（vssadmin delete shadows /all /quiet)