RANSOM_CRYPBEE.A

■ ランサムウェアファイル復号ツール公開

ランサムウェアの脅威が世界的に深刻になっている状況を受けて、ランサムウェアによって暗号化されたファイルの復号ツールをトレンドマイクロは公開しました。この復号ツールの使用方法や復号可能なファイルの条件などの制限事項については以下のダウンロードページを参照してください。

法人向けダウンロードURL：http://esupport.trendmicro.com/solution/ja-JP/1114224.aspx

個人向けダウンロードURL：https://esupport.trendmicro.com/support/vb/solution/ja-jp/1114210.aspx

また、トレンドマイクロでは、ランサムウェアの被害に遭われている法人・個人を対象に無料相談窓口も開設していますので、お困りの方は一度ご相談ください。

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

「R980ランサムウェア」としても知られるこのランサムウェアは、脅迫状に関連していないファイルも作成するため、「RANSOM_MADLOCKER」と類似している点があります。また、このランサムウェアは、特定のパスのファイルは暗号化しません。このランサムウェアは、感染PCのユーザに0.5ビットコイン（約3万円。2016年８月11日現在）の身代金を要求します。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %User Temp%\taskhost.exe

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

マルウェアは、以下のコンポーネントファイルを作成します。

• %User Temp%\status.z
• %User Temp%\status2.z
• %User Temp%\k.z
• %User Temp%\rtext.txt (contains ransom note)
• %User Temp%\fnames.txt (contains filenames of encrypted files)
• %Desktop%\DECRYPTION INSTRUCTIONS.txt

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
BEECrypt = "%User Temp%\taskhost.exe"

他のシステム変更

マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}room.pk/assets/timepicker/x.php?

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• .1cd
• .3dm
• .3ds
• .3fr
• .3g2
• .3ga
• .3gp
• .7z
• .DTD
• .PAS
• .RAW
• .a2c
• .aa3
• .aac
• .abu
• .acc
• .accdb
• .aepx
• .ai
• .aif
• .amr
• .ape
• .apnx
• .arc
• .ari
• .arp
• .arw
• .asf
• .asm
• .asp
• .aspx
• .ass
• .asx
• .av
• .ava
• .avi
• .azw
• .azw1
• .azw3
• .azw4
• .bad
• .bak
• .bas
• .bay
• .bdcr
• .bdcu
• .bdd
• .bdp
• .bds
• .bin
• .blend
• .bmp
• .bpdr
• .bpdu
• .bsdr
• .bsdu
• .c
• .cam
• .camproj
• .ccd
• .cdi
• .cdr
• .cer
• .cgi
• .cineon
• .class
• .cmf
• .cnf
• .conf
• .config
• .cpp
• .cr2
• .crt
• .crw
• .crwl
• .cry
• .cs
• .css
• .csv
• .ctl
• .cue
• .dash
• .dat
• .db
• .dbf
• .dbx
• .dcr
• .dd
• .dds
• .der
• .des
• .dgn
• .dicom
• .disc
• .dmg
• .dng
• .doc
• .docm
• .docx
• .dotm
• .dotx
• .dsc
• .dvd
• .dwg
• .dxf
• .dxg
• .eip
• .emf
• .eml
• .eps
• .erf
• .fdb
• .fff
• .fla
• .flv
• .fmb
• .fmt
• .fmx
• .gbr
• .gdb
• .gfx
• .gho
• .gif
• .groups
• .gsd
• .gsf
• .gzip
• .h
• .hdr
• .hpp
• .htm
• .html
• .iif
• .iiq
• .img
• .ims
• .indd
• .ini
• .iso
• .iss
• .jar
• .java
• .jfif
• .jge
• .jpe
• .jpeg
• .jpg
• .js
• .jsp
• .k25
• .kdc
• .key
• .kwm
• .lit
• .log
• .lst
• .lua
• .m
• .m3u
• .m4a
• .m4v
• .ma
• .max
• .md
• .mdb
• .mdf
• .mdk
• .mef
• .mkv
• .mobi
• .mov
• .movie
• .mp1
• .mp2
• .mp3
• .mp4
• .mp4v
• .mpa
• .mpe
• .mpeg
• .mpg
• .mpv2
• .mrw
• .msg
• .mts
• .nd
• .nef
• .nrg
• .nri
• .nrw
• .number
• .obj
• .odb
• .odm
• .odp
• .ods
• .odt
• .ogg
• .openexr
• .ora
• .orf
• .p12
• .p7b
• .p7c
• .pages
• .pas
• .pbm
• .pck
• .pdb
• .pdd
• .pdf
• .pef
• .pem
• .perl
• .pfx
• .pgm
• .php
• .pic
• .pkb
• .pks
• .pl
• .plb
• .pls
• .png
• .pot
• .potm
• .potx
• .ppam
• .ppm
• .pps
• .ppsm
• .ppsx
• .ppt
• .pptm
• .pptx
• .prf
• .prn
• .ps
• .psb
• .psd
• .pspimage
• .pst
• .ptx
• .pwm
• .py
• .qba
• .qbm
• .qbr
• .qbw
• .qbx
• .qby
• .qfx
• .r3d
• .raf
• .ram
• .rar
• .raw
• .rdf
• .rdo
• .rep
• .rex
• .rf
• .rgx
• .rik
• .rm
• .rpf
• .rtf
• .rw2
• .rwl
• .safe
• .sdf
• .sldm
• .sldx
• .sql
• .sqllite
• .sr2
• .srf
• .srt
• .srw
• .sti
• .stl
• .svg
• .swf
• .sxi
• .tax
• .tex
• .tga
• .thmx
• .tif
• .tiff
• .tlg
• .toast
• .txt
• .v2i
• .vbs
• .vcd
• .vdi
• .vlc
• .vob
• .vpd
• .vsd
• .wb2
• .wma
• .wmv
• .wpd
• .wps
• .x3f
• .xbm
• .xlam
• .xlk
• .xls
• .xlsb
• .xlsm
• .xlsx
• .xltm
• .xml
• .xps
• .xsl
• .yaml
• .yuv
• .zip

マルウェアは、以下のファイル名を使用し、暗号化されたファイルを改称します。

• {original file name and file extension}.crypt

マルウェアが作成する以下のコンポーネントファイルは、脅迫状を含みます。

• %User Temp%\rtext.txt

マルウェアが作成する以下のコンポーネントファイルは、暗号化されたファイルのファイル名を含みます。

• %User Temp%\fnames.txt

マルウェアは、以下のパスのファイルは暗号化しません。

• Users\All Users
• $Recycle.Bin
• Program Files (x86)\\Google\\Chrome
• Program Files (x86)\\Mozilla Firefox
• Program Files\\Google\\Chrome
• Program Files\\Mozilla Firefox

マルウェアは、以下の脅迫状を作成します。