製品情報 PRODUCTINFO
AppCheck
【Ouroboros Ransomware (.[tormented.soul@tuta.io][MJ-{Random}].bom) 攻撃映像】
- 照会
- 9557
・配布方式：未確認
・MD5 : cafcd59a669cfb2c981fcb8b58d0d1aa
・検知名：Ransomware/Win.VOIDCRYPT.C4454770 (AhnLab V3), Ransom.Win32.VOIDCRYPT.SM (Trend Micro)
・ファイル暗号化パターン：.[tormented.soul@tuta.io][MJ-].bom
・悪性ファイル生成場所
- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\.exe
- C:\ProgramData\IDk.txt
- C:\ProgramData\pkey.txt
- C:\ProgramData\prvkey<数字>.txt
- C:\ProgramData\prvkey<数字>.txt.key
・決済案内ファイル：C:\Users\Public\Desktop\<Randomファイル>
・主な特徴
- オフライン暗号化(Offline Encryption)
- Zeropadyptランサムウェア系
- Windows Firewall無力化(netsh advfirewall set currentprofile state off, netsh firewall set opmode mode=disable)
- タスクマネージャー無力化(DisableTaskmgr)
- 特定プロセス(msftesql.exe, mysqld.exe, mysqld-nt.exe, sqlagent.exe, sqlserver.exe, sqlwriter.exeなど)実行遮断
- 特定サービス(MSDTC, MSSQL$CONTOSO1, MSSQLSERVER, SQLBrowser, SQLSERVERAGENT, SQLWriter, vdsなど)中止
- システム復元無力化(bcdedit /set {default} bootstatuspolicy ignoreallfailures, bcdedit /set {default} recoveryenabled no, wbadmin delete catalog -quiet)
・MD5 : cafcd59a669cfb2c981fcb8b58d0d1aa
・検知名：Ransomware/Win.VOIDCRYPT.C4454770 (AhnLab V3), Ransom.Win32.VOIDCRYPT.SM (Trend Micro)
・ファイル暗号化パターン：.[tormented.soul@tuta.io][MJ-].bom
・悪性ファイル生成場所
- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\.exe
- C:\ProgramData\IDk.txt
- C:\ProgramData\pkey.txt
- C:\ProgramData\prvkey<数字>.txt
- C:\ProgramData\prvkey<数字>.txt.key
・決済案内ファイル：C:\Users\Public\Desktop\<Randomファイル>
・主な特徴
- オフライン暗号化(Offline Encryption)
- Zeropadyptランサムウェア系
- Windows Firewall無力化(netsh advfirewall set currentprofile state off, netsh firewall set opmode mode=disable)
- タスクマネージャー無力化(DisableTaskmgr)
- 特定プロセス(msftesql.exe, mysqld.exe, mysqld-nt.exe, sqlagent.exe, sqlserver.exe, sqlwriter.exeなど)実行遮断
- 特定サービス(MSDTC, MSSQL$CONTOSO1, MSSQLSERVER, SQLBrowser, SQLSERVERAGENT, SQLWriter, vdsなど)中止
- システム復元無力化(bcdedit /set {default} bootstatuspolicy ignoreallfailures, bcdedit /set {default} recoveryenabled no, wbadmin delete catalog -quiet)