映像
様々なランサムウェアに対応するAppCheckの事前防御、自動復旧およびリアルタイムバックアップ機能を映像でご確認いただけます。
- 配布方式 : MS-SQL管理者アカウントのハッキングによるリモートプログラムのインストール
- MD5 : d16d5a50d5c9f96778206b5f715a10ea
- 主な検出名 : Win32:CrypterX-gen [Trj] (Avast), Trojan:MSIL/AsyncRAT.I!MTB (Microsoft)
- ファイル暗号化パターン : .xollam
- メッセージファイル : FILE RECOVERY.txt / HOW TO RECOVER !!.TXT
- 主な特徴 :
- 正規の実行ファイル「C:\Windows\Microsoft.NET\Framework\v4.0.30319\AddInProcess32.exe」を利用したファイルの暗号化
- 特定のファイル拡張子（.bak, .dbf, .dmp, .hdd, .ibd, .lck, .mdb, .mdf, .nvram, .ora, .oraenv, .rar, .smd, .sql, .vdi, .vhd, .vhdx, .vmdk, .vmem, .vmsd, .vmsn, .vmss, .vmx, .zip）を持つファイルから暗号化を実行する。
- 特定のプロセス（Cobian.exe, MessageNotification.exe, ReportingServicesService.exe, SqlManagement.exe, tomcat9.exe, TongBackupSrv.exeなど）の実行を遮断
- 特定のサービス（cbVSCService11, ReportServer$SQLEXPRESS, SQLSERVERAGENT, SSSyncService, TongBackupSrv, XT800Service_Personalなど）の削除
- 特定のサービス（cbVSCService, NetBackup Legacy Network Service, SAPB1iEventSender, SQLBackupAndFTP Client Service, UFNet, vmvssなど）の停止
- 特定のサービス(sc config "MSSQLFDLauncher" start= disabled, sc config MSSQLSERVER start=disabled, sc config "MSSQLServerOLAPService" start= disabled, sc config "SQL Server (MSSQLSERVER)" start=disabled, sc config "TMBMServer" start= disabled, sc config vss start=disabled など)の設定変更
- システム復元の無効化（bcdedit /set {current} bootstatuspolicy ignoreallfailures, vssadmin.exe delete shadows /all /quiet, bcdedit /set {current} recoveryenabled no)