Avaddon ランサムウェアの 解析
解析レポート2020

安 全 な ネ ット 活 用 の た め のセ キュリティ情 報

はじめにマルウェアなどのインターネット上の脅威は日々高度化・巧妙化が進み、法人、個人を問わず金銭的被害や機密情報の漏えいなどリスクも増大しています。このような状況においては、被害に遭わないために最新動向を知り、適切なセキュリティ対策を実施することが重要です。

サイバーセキュリティに関する研究を担うサイバーセキュリティラボを中核に、最新の脅威やマルウェアの動向の情報収集および分析を実施し、セキュリティ対策に必要な情報をレポートとして発行しています。

「Avaddon（アヴァドン）」
は2020年に確認されたRaaS型のランサムウェアです。
本レポートでは、Avaddonの日本国内に向けた攻撃事例や、Avaddonの各バージョンにおける内部構造の変化を紹介します。

contents

1

Avaddonランサムウェアの概要

2

2

Avaddonランサムウェアの感染経路

3

3

Avaddon ランサムウェアの解析

5

4

身代金の支払い Web サイト175 まとめ19

6 IoCs（侵入の痕跡情報）

20

Avaddonランサムウェアの解析

1.  Avaddonランサムウェアの概要
AvaddonはRaaS（Ransomware as a Service）として提供されているランサムウェアです。2020年6月上旬にAvaddonのサービス提供者はロシア語のフォーラム上で「Avaddonアフィリエイトプログラム」と題してサービスを開始しました。
Avaddonランサムウェアを使った攻撃は数多くのバリエーションが確認されており、複数の攻撃者がサービスを利用していると考えられます。

RaaS（Ransomware as a service）のイメージ

また、8月にはAvaddonのサービス提供者は窃取した機密情報を公開するためのWebサイトを立ち上げています。これは二重の脅迫（double extortion）と呼ばれる手法で、被害者からさらなる金銭を要求するためにMazeやNemty等多くのランサムウェアのオペレーターが採用しています。現時点ではAvaddonランサムウェア自体にファイル等を抽出する機能が確認されていないことから、他のツールを使用して情報を窃取していると考えられます。
9月1日時点で、3つの組織が脅迫の対象となっています。

Avaddonの情報公開脅迫Webサイト

2Avaddonランサムウェアの解析

2.  Avaddonランサムウェアの感染経路
Avaddonランサムウェアの感染経路は複数確認されています。RIGエクスプロイトキットを悪用したDrive-By Download
攻撃や、Excelマクロを添付したメールによる攻撃等が確認されていますが、本稿ではとりわけ多く拡散されたPhorpiexボットネットを使用した攻撃について分析します。
Phorpiexは2019年の初め頃に登場したボットネットです。過去にはGandCrabランサムウェアの配信にも使われています。
2020年6月5日頃、Phorpiexボットネットを使用したAvaddonランサムウェアの拡散は始まりました。
６月9日には日本のメールアドレス宛にメールが多数送信されました。

6/30

6/28

6/29

6/27

6/26

6/24

6/256/23

6/21

6/22

6/19

6/20

6/17

6/18

6/15

6/16

6/14

6/13

6/11

6/12

6/10

6/8

6/9

6/6

6/7

6/4

6/5

6/3

6/1

6/2

このメールはESET製品でJS/Danger.ScriptAttachmentとして検出されています。

JS/Danger.ScriptAttachmentの日別検出数の推移（2020年・日本国内）

日本のメールアドレス宛に送られたメールは「You look good here」
等の件名で、本文には顔文字が書かれています。

3

Avaddonランサムウェアの解析

JPドメインのメールアドレス宛のメール

添付ファイルのファイル名は「IMG{数字６桁}.jpg.js.zip」
や「Photo_{数字６桁}_jpg.js.zip」の形式で、中には画像ファイルに偽装したJavaScriptダウンローダーが含まれています。

JavaScript 形式のダウンローダー

7月7日頃からは難読化され大量のダミーコードが挿入されたJavaScriptダウンローダーが確認されています。

JavaScript 形式のダウンローダー（難読化されたバージョン）

4

Avaddonランサムウェアの解析

これらのJavaScriptはPowerShellとbitsadminをそれぞれ実行してAvaddonランサムウェアのダウンロードおよび実行を試みます。bitsadminはWindowsに標準でインストールされているコマンドラインツールで、インターネット上にあるファイルのダウンロードが可能です。
マルウェアがPowerShellを悪用することは一般によく知られており、PowerShellの通信をブロックする製品・運用も多いことから、別の手法を併用していると考えられます。

JavaScript 形式ダウンローダーのプロセスツリー

実行

PowerShell

ダウンロード実行

悪性JavaScript

Avaddonランサムウェア

bitsadmin

Avaddonランサムウェアのダウンロードの流れ

3.  Avaddonランサムウェアの解析
Phorpiexボットネットで拡散されたAvaddonランサムウェア本体を詳しく解析します。
Avaddonはいくつかの文字列を暗号化してプログラム内部に保持しており、その暗号化（復号）方法は複数のバリエーションが確認されています。本稿では、その暗号化方式ごとにバージョン番号を独自に採番しています。以降、注釈がない限り全バージョン共通の特徴・挙動です。

Avaddonバージョンの推移

5

Avaddonランサムウェアの解析

暗号化されている文字列は、変更するレジストリの値や実行するコマンドなどです。アンチウイルスプログラムによる検出や解析者による解析を防ぐため、暗号化されていると考えられます。リストに含まれる文字列はバージョンにより差異があります。

文字列をデコードするコードの一部

復号した文字列（色付きは差分）

6

Avaddonランサムウェアの解析

アフィリエイトプログラム開始

情報公開
脅迫開始

Phorpiex でv1拡散開始

Phorpiex でv2拡散開始

Phorpiex でv3拡散開始

2件目 のリーク

日本向けに拡散6/3 6/5 6/9

3件目 のリーク

6/21

7/7

8/8

8/21

8/29

Avaddonに関連するイベントのタイムライン

Avaddonランサムウェアはファイルを暗号化するだけではなく、様々な機能を持っています。以下、順番に紹介します。

■環境検知

■

自身のコピーとスケジュール作成■

UACの無効化とバイパス■プロセスとサービスの終了■

ファイル復元の防止■

ファイルの暗号化■

ランサムノートの作成■ 環境検知Avaddonには実行されたOSの言語環境をチェックする機能が備わっており、以下の環境では暗号化せずにプロセスが終了します。言語のリストにはロシアおよびウクライナで使用される言語が含まれており、アフィリエイトプログラムがロシア語のフォーラムで展開されていることと関連性があります。
バージョン3ではウクライナ語の代わりにチェロキー語（アメリカ合衆国の一部で使用される言語）がロケールIDのリストに含まれていますが、これにはアンチウイルス製品のシグネチャによる検出を回避する狙いがあると考えられます。
ロケールID		● 0x419: ロシア語		

● 0x422: ウクライナ語 ※バージョン1および2		

● 0x45C: チェロキー語 ※バージョン3

キーボードレイアウト		● 0x419: ロシア語		

● 0x485: サハ語（主にロシアで使用される言語）		

● 0x444: タタール語（主にロシアで使用される言語）		● 0x422: ウクライナ語

7Avaddonランサムウェアの解析

言語環境をチェックするコード（バージョン1および 2）

言語環境をチェックするコード（バージョン3）

また、IsDebuggerPresent関数を使いデバッガーで実行されているかどうかを検知します。
次に、GetThreadContext関数でハードウェアブレークポイントが使用されているかどうかを確認します。
バージョン2以降ではCheckRemoteDebuggerPresent関数も使われています。

デバッガーを検知するコード（バージョン1）

デバッガーを検知するコード（バージョン2および 3）■ 自身のコピーとスケジュール作成
実行ファイル自身を%APPDATA%\Microsoft\Windowsフォルダーにコピーし、自動的に実行されるようにタスクスケジューラに登録します。既に暗号化を行っている場合は繰り返し暗号化を行うことはありません。

タスクスケジューラに登録されたタスク

8

Avaddonランサムウェアの解析■ UACの無効化とバイパス
ユーザーアカウント制御（UAC）
を無効にするため、以下のレジストリ値を0に設定します。設定が変更されると再起動を促す通知が表示され、再起動後に設定が有効になります。		

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\		System\EnableLUA

再起動を促す通知

管理者権限で実行されなかった場合はCOM Elevation Moniker1と呼ばれる手法を悪用して、UACをバイパスして管理者権限によるコード実行を試みます。UACの無効化がプロセス全体の権限を昇格させるのに対して、COM Elevation
Monikerは制限されたプロセスの中でCOMクラスの権限を昇格させます。これにより、（いくつか制限はあるものの）特権を必要とする機能の実行が可能になります。

UACとCOM Elevation Monikerのイメージ

COM Elevation Monikerで権限を昇格するコード

1

The COM Elevation Moniker｜Microsoft

https://docs.microsoft.com/en-us/windows/win32/com/the-com-elevation-moniker

9

Avaddonランサムウェアの解析■ プロセスとサービスの終了
以下のプロセスが実行されていた場合、終了させます。
文書作成プログラムやアンチウイルスプログラム、データベース関連のプログラム等がリストに含まれています。これらのプロセスに開かれている作業中のファイルを暗号化するための機能と考えられます。			

sqlservr.exe			

sqlmangr.exe			

RAgui.exe			

QBCFMonitorService.exe			

supervise.exe			

fdhost.exe			

Culture.exe			

RTVscan.exe			Defwatch.exe			

wxServerView.exe			sqlbrowser.exe			

winword.exe			

GDscan.exe			

QBW32.exe			

QBDBMgr.exe			

qbupdate.exe			

axlbridge.exe			

360se.exe			

360doctor.exe			

QBIDPService.exe			

wxServer.exe			

httpd.exe			

fdlauncher.exe			

MsDtSrvr.exe			

tomcat6.exe			

java.exe			

wdswfsafe.exe

終了させるプロセスのリスト

10

Avaddonランサムウェアの解析

以下のサービスを終了させます。
リストにはデータベース関連のサービスが多く含まれており、データベースファイルが重要なターゲットであることが伺えます。			

DefWatch			

ccEvtMgr			ccSetMgr			

SavRoam			

dbsrv12			

sqlservr			

sqlagent			

Intuit.QuickBooks.FCS			dbeng8			

sqladhlp			QBIDPService			

Culserver			

RTVscan			vmware-usbarbitator64			

vmware-converter			

VMAuthdService			

VMnetDHCP			VMUSBArbService			

VMwareHostd			sqlbrowser			SQLADULP			sqlwriter			

msmdsrv			

tomcat6			

QBCFMonitorService

終了させるサービスのリスト

11

Avaddonランサムウェアの解析■ ファイル復元の防止
シャドウコピーからのファイル復旧や自動修復を防ぐため、以下のコマンドを実行します。			

wmic.exe SHADOWCOPY /nointeractive			

wbadmin DELETE SYSTEMSTATEBACKUP			wbadmin DELETE SYSTEMSTATEBACKUP -deleteOldest			bcdedit.exe /set {default} recoveryenabled No			bcdedit.exe /set {default} bootstatuspolicy ignoreallfailures			

vssadmin.exe Delete Shadows /All /Quiet

また、SHEmptyRecycleBin関数でゴミ箱を空にします。

ゴミ箱を空にするコード■ ファイルの暗号化
GetLogicalDrives関数で現在のコンピューターの論理ドライブの情報をすべて取得し、WNetGetConnection関数でネットワークドライブのUNCパスを取得します。
また、NetShareEnum関数を使ってSMB共有フォルダーのパスを列挙します。
取得・列挙したフォルダーのファイルをCryptEncrypt関数でAES暗号化します。
ファイルの暗号化に使用したAES鍵はRSA公開鍵で暗号化されます。

RSA 鍵と鍵のインポート処理

12

Avaddonランサムウェアの解析

暗号化されたファイルには拡張子.avdnが付与されます。
（バージョン1および2）バージョン3では、Avaddonが実行されているディスクドライブのボリュームシリアル番号とCPUの種類に依存する9～10文字の英文字の拡張子が付与されます。

暗号化されたファイルに付与される拡張子の生成（バージョン3）

以下の拡張子のファイルは暗号化の対象から除外されます。			

.exe .bin .sys .ini .dll .lnk .dat .exe .drv .rdp .prf .swp

除外する拡張子のリスト

以下のフォルダー内のファイルは暗号化の対象から除外されます。			

%SYSTEMDRIVE%			

%PROGRAMFILES(x86)%			

%USERPROFILE%			

ProgramData			Program Files			%ALLUSERSPROFILE%			

AppData			%PUBLIC%			

Tor Browser			

MSOCache（バージョン3のみ）

13

Avaddonランサムウェアの解析

ただし、以下のフォルダーのファイルは暗号化されます。			

\Program Files\Microsoft\Exchange Server			\Program Files (x86)\Microsoft\Exchange Server			\Program Files\Microsoft SQL Server			\Program Files (x86)\Microsoft SQL Server

暗号化後、デスクトップの壁紙が変更されます。
バージョン3以降では、支払いに応じない場合はデータを公開するという旨の脅迫文が追加されています。

感染後のデスクトップ（バージョン1および 2）

感染後のデスクトップ（バージョン3）

14

Avaddonランサムウェアの解析

なお、AvaddonがVMware上で実行されている場合、AvaddonはWindows ブート マネージャーにドライブレターを割り当てた後にブートプログラムを暗号化します。そのため、一度再起動を行うとWindowsが起動しなくなります。

暗号化されたWindows ブート マネージャー

Windowsの起動に失敗する様子■ ランサムノートの作成
HTML形式のランサムノート（身代金要求文書）を各フォルダーに作成します。
ランサムノートには身代金の支払い方法や”Your ID”の文字列が記載されています。

15

Avaddonランサムウェアの解析

ランサムノート（身代金要求文書）“Your ID”には、暗号化された以下の情報が含まれています。攻撃者が感染PCの状態を知るため、これらの情報を収集していると考えられます。収集する情報はAvaddonのバージョンによって差異があります。

各バージョンの”Your ID”に含まれる情報16

Avaddonランサムウェアの解析“Your ID”に含まれる情報の一部（バージョン3）

感染PCのグローバルIPアドレスはapi.myip.comに対してHTTPリクエストを送信することで取得します。myip.comは攻撃者が用意したWebサイトではなく、一般的に利用されているWebサイトです。

api.myip.comのレスポンスデータの例

4.  身代金の支払いWebサイト
身代金の支払いWebサイトはonionドメイン上に用意されており、日本語のほか8つの言語に対応しています。ランサムノー
トに記載された”Your ID”を入力することで、次の画面に進みます。

身代金支払いWebサイトのスタートページ

17

Avaddonランサムウェアの解析

次のページでは、身代金の金額、送付先のビットコインアドレス、身代金の支払い期限等の情報が表示されます。このページにアクセスした時点で、支払い期限のカウントが開始されます。身代金の金額や支払い期限はいくつかのパターンを確認しており、Avaddonインフラの利用者（攻撃者）が設定可能であると考えられます。
FAQページやデコーダのテスト用ページ、チャットによるサポートなども用意されています。

身代金支払いWebサイトのメインページ

身代金支払いWebサイトのFAQページ

18

Avaddonランサムウェアの解析

身代金支払いWebサイトのデコーダテストページ

5.  まとめ
AvaddonはRaaSで提供される高機能なランサムウェアです。頻繁にバージョンアップを重ねており、今後さらに機能が増えることも考えられます。
また、Avaddonの運営者は8月には情報公開脅迫を始めています。脅迫の対象は今後も増え続けることが予想されます。
ランサムウェアへの感染や機密情報の窃取を防ぐために、以下のセキュリティ対策を推奨します。
■ ランサムウェアへの感染やツールによる情報窃取を防ぐための対策●

オペレーティングシステムやソフトウェアに常に最新の更新プログラムを適用する●

エンドポイントのアンチウイルス製品を導入し、最新の状態に保つ●

Officeのマクロ実行設定が無効になっていることを確認する●

スクリプトファイル（JavaScript、VBScript等）
を開く規定のアプリケーションをテキストエディタ等に変更する		●（スクリプトファイルを実行させないようにする）
ファイアウォールの設定を見直す■ ランサムウェアに感染した場合に被害を最小限に抑えるための対策●

定期的にバックアップを取得し、バックアップはネットワークのセグメントを分けておく●

ファイルサーバーのアクセス権設定やファイル共有の設定を確認する●

管理共有を無効にする●

ファイアウォールの設定を見直す

19

Avaddonランサムウェアの解析

6.  IoCs（侵入の痕跡情報）
ダウンローダー（JavaScript）
平文

a481d2b64c546f68d55e1fd23e57ada80b6b4e2c3dd7b0466380dba465f3d318

難読化6389e3c49b6f4009ca0f1631436d481065a3b3cfab7a15a073edbb61dd971c73

Avaddon（実行形式ファイル）20

v1

05af0cf40590aef24b28fa04c6b4998b7ab3b7f26e60c507adb84f3d837778f2

v2

fa4626e2c5984d7868a685c5102530bd8260d0b31ef06d2ce2da7636da48d2d6

v3

7b4a13c022f0948f0a7ace0c2ea8b85af4f596338af14c3a1be2e63f55cbb335

Av a d d o nラン サムウェアの 解 析|

強くて軽い。

編 集・発 行妥協なきセキュリティ。

キ ヤノン マー ケ ティング ジャパ ン 株 式 会 社

Microsoft、Windows、Excel、PowershellおよびSQL serverは、米国Microsoft Corporationの米国、日本およびその他の国における登録商標または商標です。
■ 当資料に掲載している情報については注意を払っておりますが、その正確性や適切性に問題がある場合、告知なしに情報を変更・削除する場合があります。また当資料を用いておこなう行為に関連して生じたあらゆる損害に対しては一切の責任を負いかねます。

〒108- 8011

東京都港区港南2-16-6

TEL. 03-6701-3452

MWJY2010CMJ_PDF