Sepsisランサムウェア分析(WhiteDefender)

1. 概要

SepsisランサムウェアはWindowsシステム上で実行され、重要なファイルデータを暗号化してからファイル名.拡張子。[Sepsis@protonmail.com].SEPSISに拡張子を変更します。感染が進行すると、ユーザーのすべてのファイルデータ領域にmshta.exeランサムノートを作成し、すべての拡張子を暗号化してユーザーがすぐに感染を認識するように誘導します。

ランサムウェア情報のまとめ

サンプル識別子

図1. Sepsis感染後の暗号化ファイル

2. ランサムウェア動作の特徴

SepsisランサムウェアはC ++ベースで開発されており、実行時に自分のファイルをWindowsフォルダにsvchost.exeという名前にコピーし、そのファイルを再実行します。その後、Windowsログオンプロセス中に自動的に実行されるWinlogonレジストリ領域に自分自身を登録し、システムの再起動後も継続的に実行できるように永続性を確保します。

暗号化を実行する前に、シャドウコピー（Volume Shadow Copy）の削除、Windowsシステムの復元機能の無効化、アプリケーションエラーの通知機能の無効化などの回復妨害を実行します。これにより、ユーザーのデータ復旧の可能性を最小限に抑えた後にファイル暗号化を進め、暗号化完了後は通常の復旧手順を難しくしてダメージを最大化するという特徴が見られます。

図 2. 最初の実行場所のランサムウェア実行ファイルを Windows フォルダにコピーして再実行する動的コードの内容

図 3. 動的実行中のレジストリ変更部分と適用レジストリの値

図4.シャドウコピーの削除とウィンドウの復元と実行エラー通知機能を無効にする内部静的コード

3. ランサムウェア感染の結果

ランサムウェア感染が進行すると暗号化が行われ、ランサムノートが生成され、暗号化が進行された各ファイルは拡張子が変更されて使用できなくなります。

• 主要文書・画像などファイルがファイル名・拡張子。 [Sepsis@protonmail.com]
• mshta.exeランサムノートの生成
• ユーザーデータ暗号化によるアクセス不可状態

図 5. ランサムウェア感染後の暗号化されたファイル拡張子 [Sepsis@protonmail.com].SEPSIS 変更例

図6. ランサムウェア感染後に変更されたデスクトップ

4. WhiteDefender対応

WhiteDefenderは、ランサムウェアの悪意のある行為をブロックする前に暗号化が行われるファイルに対してもリアルタイムで自動復元をサポートします。

図 7. WhiteDefender Detect Viewer 検出ログ: Ransomware Behavior‑Detect 検出と Execution Block / Quarantine / Restore 履歴

図 8. WhiteDefender ブロック通知ポップアップ: Process has been blocked due to malicious activity (Sepsis.exe)