・配布方式 : 未確認

・MD5 : 245f85b4e7ce46ed3004f848fef312b8

・主な探知名 : Ransom.VoidCrypt (Malwarebytes), Ransom:Win32/Spade.DB!MTB (Microsoft)

・ファイル暗号化パターン : .[encryptadm@criptext.com][].Sophos

・悪性ファイルの生成位置

- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp\!INFO.HTA
- C:\ProgramData\IDk.txt
- C:\ProgramData\pubk.txt
- C:\Users\%UserName%\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\!INFO.HTA

・決済案内ファイル : !INFO.HTA

・主な特徴
- オフライン暗号化(Offline Encryption)
- Zeropadyptランサムウェア系
- Windows Firewall無効化(netsh advfirewall set currentprofile state off, netsh firewall set opmode mode=disable)
- 特定プロセス(msftesql.exe, mysqld.exe, mysqld-opt.exe, sqlagent.exe, sqlbrowser.exe, sqlserver.exeなど)実行遮断
- 特定サービス(MSDTC, MSSQLSERVER, SQLBrowser, SQLSERVERAGENT, SQLWriter, vdsなど)中止
- システム復元無効化(bcdedit /set {default} bootstatuspolicy ignoreallfailures, bcdedit /set {default} recoveryenabled no, wbadmin delete catalog -quiet)