・配布方式 : 遠隔デスクトッププロトコル(RemoteDesktopProtocol、RDP)およびターミナルサービスによる遠隔接続

・MD5 : 315aaf1f0128e50999fd5b82949a9267

・検知名 : Ransom.FileCryptor(Malwarebytes)、Trojan:MSIL/AgentTesla.KA!MTB(Microsoft)

・ファイル暗号化パターン : .mallox

・悪性ファイル生成場所

- C:\Users\%UserName%\AppData\Local\Temp\AdvancedRun.exe

- C:\Users\%UserName%\AppData\Local\Temp\Blffpekna.vbs

- C:\Users\%UserName%\AppData\Local\Temp\MSBuild.exe

- C:\Users\%UserName%\AppData\Local\Temp\Yubhigusnhbrkitykwictqkill$.bat

・決済案内ファイル : HOWTORECOVER!!!TXT / RECOVERY INFORMATION.txt

・特徴
- オフライン暗号化(OfflineEncryption)

- Oppoランサムウェア系

- Microsoft .NETFramework正常ファイル(%Temp%\MSBuild.exe)を利用した暗号化

- WindowsDefenderワクチンの無力化

- 特定プロセス（fdhost.exe、httpd.exe、java.exe、reportingservicesservice.exe、softmgrlite.exe、sqlservr.exeなど）実行ブロック

- 特定サービス（MSSQLFDLauncher、QcSoftService、SQLBrowser、SQLSERVERAGENT、SQLWriter、VMToolsなど）を削除

- 特定サービス（Apache2.4、HaoZipSvc、igfxCUIService2.0.0、memcachedServer、MSComplianceAudit、U8WorkerService1など）中止

- システム復元無力化(vssadmin.exedeleteshadows/all/quiet,bcdedit/set{current}bootstatuspolicyignoreallfailures,bcdedit/set{current}recoveryenabledno)