RANSOM_ENIGMA.A

■ ランサムウェアファイル復号ツール公開

ランサムウェアの脅威が世界的に深刻になっている状況を受けて、ランサムウェアによって暗号化されたファイルの復号ツールをトレンドマイクロは公開しました。この復号ツールの使用方法や復号可能なファイルの条件などの制限事項については以下のダウンロードページを参照してください。

法人向けダウンロードURL：http://esupport.trendmicro.com/solution/ja-JP/1114224.aspx

個人向けダウンロードURL：https://esupport.trendmicro.com/support/vb/solution/ja-jp/1114210.aspx

また、トレンドマイクロでは、ランサムウェアの被害に遭われている法人・個人を対象に無料相談窓口も開設していますので、お困りの方は一度ご相談ください。

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、Internet Explorer（IE）のゾーン設定を変更します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\b815_appcompat.txt
• %Application Data%\testStart.txt
• %Desktop%\enigma_encr.txt -> Ransom Note (Text File)
• %Desktop%\allfilefinds.dat -> List of Searched/Encrypted Files
• %Desktop%\ENIGMA_682.RSA -> contains encryption key

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.. %Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.)

マルウェアは、以下のファイルを作成し実行します。

• %Desktop%\enigma.hta -> Ransom Note (Window Message)

(註：%Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
MyProgram = %Desktop%\{malware filename}.exe

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
MyProgramOk = %Desktop%\enigma.hta

Webブラウザのホームページおよび検索ページの変更

マルウェアは、IEのゾーン設定を変更します。

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}.{BLOCKED}.204.90/images/tuck.php

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• .1cd
• .2d
• .3dc
• .7z
• .aes
• .asm
• .asp
• .asp
• .aspx
• .avi
• .bat
• .bmp
• .bz
• .bz2
• .bza
• .bzip
• .bzip2
• .cad
• .cd
• .cdr
• .cmd
• .cpp
• .crt
• .csr
• .csv
• .czip
• .dat
• .dbf
• .dif
• .djv
• .djvu
• .doc
• .docb
• .docm
• .docx
• .dwg
• .fla
• .gif
• .gz
• .gz
• .gz2
• .gza
• .gzi
• .gzip
• .hdoc
• .html
• .hwp
• .java
• .jpeg
• .jpg
• .key
• .kwm
• .lzma
• .max
• .mdb
• .mdb
• .mkv
• .mml
• .mov
• .mpeg
• .mpg
• .MYD
• .MYI
• .odg
• .odp
• .ods
• .odt
• .odt
• .otg
• .otp
• .ots
• .ott
• .pas
• .pem
• .php
• .php
• .png
• .pot
• .potm
• .potx
• .ppam
• .pps
• .ppsm
• .ppsx
• .ppt
• .ppt
• .pptm
• .pptx
• .pptx
• .psd
• .rar
• .rtf
• .rtf
• .slk
• .sln
• .sql
• .sqlite
• .sqlite
• .sqlite3
• .sqlitedb
• .sqx
• .sqz
• .srep
• .stc
• .std
• .sti
• .stw
• .swf
• .sxc
• .sxi
• .sxm
• .sxw
• .tar
• .taz
• .tbk
• .tbz
• .tbz2
• .tg
• .tgz
• .tif
• .tiff
• .tlz
• .tlzma
• .tsk
• .tx_
• .txt
• .txz
• .tz
• .uc2
• .uot
• .vbs
• .vdi
• .wks
• .wmv
• .xlc
• .xlm
• .xls
• .xlsb
• .xlsm
• .xlsx
• .xlsx
• .xlt
• .xltm
• .xltx
• .xlw
• .xz
• .zi
• .zip
• .zip
• .zipx
• .zix

マルウェアは、以下のファイル名を使用し、暗号化されたファイルを改称します。

• {Original Filename}.enigma
  • ie. Sample.txt.enigma

マルウェアが作成する以下のファイルは、脅迫状です。

• %Desktop%\enigma_encr.txt（テキストファイル）

マルウェアが作成する以下のファイルは、検索/暗号化したファイルのリストです。

• %Desktop%\allfilefinds.dat

マルウェアが作成する以下のファイルには、暗号鍵が含まれています。

• %Desktop%\ENIGMA_682.RSA

マルウェアが作成し実行する以下のファイルは、脅迫状（ウィンドウメッセージ）です。

• %Desktop%\enigma.hta

マルウェアは、すべてドライブで確認された以下の拡張子を持つファイルを削除します。

• .aba
• .abf
• .abk
• .acp
• .as4
• .asd
• .ashbak
• .asvx
• .ate
• .ati
• .bac
• .bak
• .bak
• .bak~
• .bak2
• .bak3
• .bakx
• .bbb
• .bbz
• .bck
• .bckp
• .bcm
• .bk1
• .bk1
• .bkc
• .bkf
• .bkp
• .bks
• .blend1
• .blend2
• .bm3
• .bpa
• .bpb
• .bpm
• .bpn
• .bps
• .bup
• .bup
• .cbk
• .cbu
• .ck9
• .crds
• .da0
• .dash
• .dba
• .dbk
• .diy
• .dna
• .dov
• .fbc
• .fbf
• .fbk
• .fbk
• .fbu
• .fbw
• .fh
• .fhf
• .flka
• .flkb
• .fpsx
• .ftmb
• .ful
• .fza
• .gb1
• .gb2
• .gbp
• .gho
• .ghs
• .icf
• .ipd
• .iv2i
• .jbk
• .jdc
• .kb2
• .lcb
• .llx
• .mbk
• .mbw
• .mddata
• .mdinfo
• .mem
• .mig
• .mpb
• .mv_
• .nb7
• .nba
• .nbak
• .nbd
• .nbd
• .nbf
• .nbf
• .nbi
• .nbk
• .nbs
• .nbu
• .nco
• .nfb
• .nfc
• .npf
• .nps
• .nrbak
• .nrs
• .nwbak
• .obk
• .oeb
• .old
• .onepkg
• .ori
• .orig
• .paq
• .pbb
• .pbj
• .qba
• .qbb
• .qbk
• .qbm
• .qbmb
• .qbmd
• .qbx
• .qic
• .qsf
• .rbc
• .rbf
• .rbk
• .rbs
• .rdb
• .rgmb
• .rmbak
• .rrr
• .sbb
• .sbs
• .sbu
• .skb
• .sn1
• .sn2
• .sna
• .sns
• .spf
• .spg
• .spi
• .srr
• .stg
• .sv$
• .sv2i
• .tbk
• .tdb
• .tig
• .tis
• .tlg
• .tlg
• .tmr
• .trn
• .ttbk
• .uci
• .v2i
• .vbk
• .vbm
• .vpcbackup
• .vrb
• .wbb
• .wbcat
• .win
• .win
• .wjf
• .wpb
• .wspak
• .xlk
• .yrcbck