解析者: Karen Ivy Titiwa   
 別名:

Ransom:Win64/FileCoder!MSR(MICROSOFT); Trojan-Ransom.Win32.Blocker.mwat(KASPERSKY)

 プラットフォーム:

Windows

 危険度:
 ダメージ度:
 感染力:
 感染確認数:
 情報漏えい:

  • マルウェアタイプ:
    身代金要求型不正プログラム（ランサムウェア）

  • 破壊活動の有無:
    なし

  • 暗号化:
    なし

  • 感染報告の有無 :
    はい

  概要

感染経路 インターネットからのダウンロード, 他のマルウェアからの作成

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

特定のファイル拡張子を持つファイルを暗号化します。 特定のフォルダ内のファイルを暗号化します。

  詳細

ファイルサイズ 30,720 bytes
タイプ EXE
メモリ常駐 はい
発見日 2021年4月13日
ペイロード メッセージボックスの表示, ファイルの暗号化

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

  • %ProgramData%\CheckServiceD.exe

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

自動実行方法

マルウェアは、作成されたコンポーネントがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
CheckServiceD = %ProgramData%\CheckServiceD.exe

その他

マルウェアは、以下を実行します。

  • It displays the following as ransom note:

ランサムウェアの不正活動

以下の拡張子を持つファイルを暗号化します：$$ DATA $$

  • .DOC
  • .DOCX
  • .XLS
  • .XLSX
  • .PPT
  • .PPTX
  • .PST
  • .OST
  • .MSG
  • .EML
  • .VSD
  • .VSDX
  • .TXT
  • .CSV
  • .RTF
  • .WKS
  • .WK1
  • .PDF
  • .DWG
  • .ONETOC2
  • .SNT
  • .JPEG
  • .JPG
  • .DOCB
  • .DOCM
  • .DOT
  • .DOTM
  • .DOTX
  • .XLSM
  • .XLSB
  • .XLW
  • .XLT
  • .XLM
  • .XLC
  • .XLTX
  • .XLTM
  • .PPTM
  • .POT
  • .PPS
  • .PPSM
  • .PPSX
  • .PPAM
  • .POTX
  • .POTM
  • .EDB
  • .HWP
  • 0.602
  • .SXI
  • .STI
  • .SLDX
  • .SLDM
  • .VDI
  • .VMDK
  • .VMX
  • .GPG
  • .AES
  • .ARC
  • .PAQ
  • .BZ2
  • .TBK
  • .BAK
  • .TAR
  • .TGZ
  • .GZ
  • .7Z
  • .RAR
  • .ZIP
  • .BACKUP
  • .ISO
  • .VCD
  • .BMP
  • .PNG
  • .GIF
  • .RAW
  • .CGM
  • .TIF
  • .TIFF
  • .NEF
  • .PSD
  • .AI
  • .SVG
  • .DJVU
  • .M4U
  • .M3U
  • .MID
  • .WMA
  • .FLV
  • .3G2
  • .MKV
  • .3GP
  • .MP4
  • .MOV
  • .AVI
  • .ASF
  • .MPEG
  • .VOB
  • .MPG
  • .WMV
  • .FLA
  • .SWF
  • .WAV
  • .MP3
  • .SH
  • .CLASS
  • .JAR
  • .JAVA
  • .RB
  • .ASP
  • .PHP
  • .JSP
  • .BRD
  • .SCH
  • .DCH
  • .DIP
  • .PL
  • .VB
  • .VBS
  • .PS1
  • .BAT
  • .CMD
  • .JS
  • .ASM
  • .H
  • .PAS
  • .CPP
  • .C
  • .CS
  • .SUO
  • .SLN
  • .LDF
  • .MDF
  • .IBD
  • .MYI
  • .MYD
  • .FRM
  • .ODB
  • .DBF
  • .DB
  • .MDB
  • .ACCDB
  • .SQL
  • .SQLITEDB
  • .SQLITE3
  • .ASC
  • .LAY6
  • .LAY
  • .MML
  • .SXM
  • .OTG
  • .ODG
  • .UOP
  • .STD
  • .SXD
  • .OTP
  • .ODP
  • .WB2
  • .SLK
  • .DIF
  • .STC
  • .SXC
  • .OTS
  • .ODS
  • .3DM
  • .MAX
  • .3DS
  • .UOT
  • .STW
  • .SXW
  • .OTT
  • .ODT
  • .PEM
  • .P12
  • .CSR
  • .CRT
  • .KEY
  • .PFX
  • .DER
  • .HTML
  • .CSS
  • .PY
  • .GO

マルウェアは、以下のディレクトリ内で確認されたファイルを暗号化します。

  • Files found in fixed media drive or remote network drive

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

  • .encrpt3d

  対応方法

対応検索エンジン: 9.800
初回 VSAPI パターンバージョン 16.694.02
初回 VSAPI パターンリリース日 2021年5月3日
VSAPI OPR パターンバージョン 16.695.00
VSAPI OPR パターンリリース日 2021年5月4日

手順 1

トレンドマイクロの機械学習型検索は、マルウェアの存在を示す兆候が確認された時点で検出し、マルウェアが実行される前にブロックします。機械学習型検索が有効になっている場合、弊社のウイルス対策製品はこのマルウェアを以下の機械学習型検出名として検出します。

     
    • Troj.Win32.TRX.XXPE50FFF043

手順 2

Windows 7、Windows 8、Windows 8.1、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 3

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 4

このレジストリ値を削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\CheckServiceD
    • %ProgramData%\CheckServiceD.exe

手順 5

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「Ransom.Win64.WhiteBlackCrypt.A」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

手順 6

暗号化されたファイルをバックアップから復元します。


ご利用はいかがでしたか？　アンケートにご協力ください