脅威のスポットライト：教育業界とソフトウェア業界を標的にするTycoonランサムウェア

値名

値の例

EMAIL_1

“dataissafe[at]protonmail[.]com”

EMAIL_2

“dataissafe[at]mail[.]com”

FILE_EXTENSION

“thanos”

PUBLIC_KEY

“-----BEGIN PUBLIC KEY----- \nMIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQDa+whJSxr9ngcD1T5GmjDNSUEY\ngz5esbym
vy4lE9g2M3PvVc9iLw9Ybe+NMqJwHB8FYCTled48mXQmCvRH2Vw3lPkA\nTrQ4zbVx0fgEsoxekqt
b3GbK2NseXEeavCi5lo5/jXZi4Td7nlWTu27CluyxRSgv\nL0O19CwzvckTM91BKwIDAQAB\n
-----END PUBLIC KEY-----”

NUMBER_OF_KEYS_PER_ROOT_PATH

100

CHUNK_SIZE

10485760L (10 MB)

ENCRYPTION_PATTERN

true, true, false, false, false, true, true, false, false, false, false, false, false, false, false, false

HEADER

0x68, 0x61, 0x70, 0x70, 0x79, 0x6E, 0x79, 0x33, 0x2E, 0x31 (ASCII for “happyny3.1”)

DIR_BLACKLIST

"Windows", "Boot", "System Volume Information", "Program Files\\Common Files\\Microsoft Shared", "Program Files\\Common Files\\System", "Program Files\\Common Files\\Services", "Program Files\\Common Files\\SpeechEngines", "Program Files (x86)\\Common Files\\microsoft shared", "Program Files (x86)\\Common Files\\System", "Program Files (x86)\\Common Files\\Services", "Program Files (x86)\\Common Files\\SpeechEngines", "Program Files\\Internet Explorer", "Program Files\\Internet Explorer", "Program Files\\Windows Mail", "Program Files\\Windows Media Player", "Program Files\\Windows Photo Viewer", "Program Files\\Windows Sidebar", "Program Files\\DVD Maker", "Program Files\\MSBuild", "Program Files\\Reference Assemblies", "Program Files\\Windows Defender", "Program Files\\Windows NT", "Program Files (x86)\\Internet Explorer", "Program Files (x86)\\Windows Mail", "Program Files (x86)\\Windows Media Player", "Program Files (x86)\\Windows Photo Viewer", "Program Files (x86)\\Windows Sidebar", "Program Files (x86)\\MSBuild", "Program Files (x86)\\Reference Assemblies", "Program Files (x86)\\Windows Defender", "Program Files (x86)\\Windows NT", "ProgramData\\Microsoft", "Users\\All Users"

EXTENSION_BLACKLIST

"mui", "exe", "dll", "lolz"

FILE_BLACKLIST

"decryption.txt", "$Mft", "$Mft (NTFS Master File Table)", "$MftMirr", "$LogFile", "$LogFile (NTFS Volume Log)", "$Volume", "$AttrDef", "$Bitmap", "$BitMap", "$BitMap (NTFS Free Space Map)", "$Boot", "$BadClus", "$Secure", "$Upcase", "$Extend", "$Quota", "$ObjId", "$Reparse", "$Extend", "bootmgr", "BOOTSECT.BAK", "pagefile.sys", "pagefile.sys (Page File)", "boot.ini", "bootfont.bin", "io.sys"

EXEC_COMMANDS

"vssadmin delete shadows /all /quiet", "wmic shadowcopy delete", "bcdedit /set {default} bootstatuspolicy ignoreallfailures", "bcdedit /set {default} recoveryenabled no", "wbadmin delete catalog -quiet", "netsh advfirewall set currentprofile state off", "netsh firewall set opmode mode=disable"

TXT

身代金要求メッセージの内容（IOCを参照）

こんにちは!

あなたのドキュメント、写真、データベース、その他の重要なファイルはすべて暗号化されました! どうしてもファイルを復元したいですか?

もしそうなら、データのロックを解除するための解読ソフトウェアと秘密鍵を購入する必要があります。
%sまで電子メールを送って、あなたの一意の%sを教えてもらえれば、
あなたのすべてのファイルを復号するための詳しい手順をお知らせします。
こちらから24時間以内に返信がない場合は、別の電子メールアドレス%sにメールを送ってください。

========================================================================================================================
ファイルを復号するためのFAQ
========================================================================================================================

* 何が起きたのでしょうか???

あなたのファイルは破損していません! ファイルは変更され、強力な暗号アルゴリズムで暗号化されています。この変更は元に戻すことができます。ファイルを復号する唯一の方法は、解読ソフトウェアと秘密鍵を購入することです。サードパーティのソフトウェアを使用してファイルを復元しようとすると、復号に不可欠なデータが破損するため、ファイルに致命的な問題が発生します。

注!!! 必ず24時間以内に電子メールを送ってください。さもないと、ファイルがすべて失われるか、復号の費用が「増えて」しまいます。

====================================================================================
====================================

* ファイルを復元する方法???

復号の費用はビットコインで支払う必要があります。あなたがどれだけ早く電子メールを送ってくれるかによって、料金も変わってきます。支払後、すべてのファイルを復号するための解読ソフトウェアと秘密鍵をお送りします。

========================================================================================================================

* 復号は無料!!!

約束どおり、無料で復号します! 私たちのサービスを信頼できず、証拠を確かめたい場合は、復号のテストをご依頼ください。変更されたファイルを送ってください（最大5個）。ファイル共有サービスとWin-Rarを使用して、テスト用のファイルを送ってください。ファイルのサイズは（アーカイブされていない状態で）1MB未満でなければなりません。どんなファイルでもかまいません! データベース、バックアップ、大きなExcelファイルなどは送らないでください。ファイルを復号し、復号したファイルを証拠としてお送りします。

========================================================================================================================

* テストが必要な理由???

テストをするのは、ファイルを復号できるのは私たちだけであり、問題なく復号できることを確認してもらうためです。

========================================================================================================================

* ビットコインの購入方法???

ビットコインは次の2つの方法で簡単に購入できます。
https://exmo.me/en/support#/1_3
https://localbitcoins.net/guides/how-to-buy-bitcoins

この情報を注意深く読んでもらうだけで、大量のコインも購入できます。

========================================================================================================================

!!! 注意 !!!

!!! 60時間を過ぎると、暗号化にかかる費用は毎日10パーセントずつ上がります
!!! 暗号化ファイルの名前は変更しないでください。
!!! サードパーティのソフトウェアを使ってデータを復号しようとしないでください。データが永久に失われる可能性があります。
!!! サードパーティの助けを借りてファイルを復号すると、料金が（我々よりも）高くなる可能性があります。また、詐欺の被害者になる可能性もあります。