解析者: Michael Jay Villanueva   

 別名:

Ransom:Win32/Eniqma.A (Microsoft); Trojan-Ransom.Win32.Crynigma.a (Kaspersky); W32/Crynigma.A!tr (Fortinet)

 プラットフォーム:

Windows

 危険度:
 ダメージ度:
 感染力:
 感染確認数:
 情報漏えい:

  • マルウェアタイプ:
    トロイの木馬型

  • 破壊活動の有無:
    なし

  • 暗号化:
     

  • 感染報告の有無 :
    はい

  概要

感染経路 インターネットからのダウンロード, 他のマルウェアからの作成

■ ランサムウェアファイル復号ツール公開

ランサムウェアの脅威が世界的に深刻になっている状況を受けて、ランサムウェアによって暗号化されたファイルの復号ツールをトレンドマイクロは公開しました。この復号ツールの使用方法や復号可能なファイルの条件などの制限事項については以下のダウンロードページを参照してください。

法人向けダウンロードURL:http://esupport.trendmicro.com/solution/ja-JP//1114224

個人向けダウンロードURL:https://esupport.trendmicro.com/support/vb/solution/ja-jp/1114210.aspx

また、トレンドマイクロでは、ランサムウェアの被害に遭われている法人・個人を対象に無料相談窓口も開設していますので、お困りの方は一度ご相談ください。

トレンドマイクロは、このマルウェアをNoteworthy(要注意)に分類しました。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、Internet Explorer(IE)のゾーン設定を変更します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

  詳細

ファイルサイズ 536,576 bytes
タイプ EXE
メモリ常駐 はい
発見日 2016年5月19日
ペイロード ファイルの削除, URLまたはIPアドレスに接続

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

  • %User Temp%\b815_appcompat.txt
  • %Application Data%\testStart.txt
  • %Desktop%\enigma_encr.txt -> Ransom Note (Text File)
  • %Desktop%\allfilefinds.dat -> List of Searched/Encrypted Files
  • %Desktop%\ENIGMA_682.RSA -> contains encryption key

(註:%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\<ユーザー名>\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\<ユーザ名>\AppData\Local\Temp" です。.. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\<ユーザ名>\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\<ユーザ名>\AppData\Roaming" です。.. %Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\<ユーザ名>\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\<ユーザ名>\Desktop" です。.)

マルウェアは、以下のファイルを作成し実行します。

  • %Desktop%\enigma.hta -> Ransom Note (Window Message)

(註:%Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\<ユーザ名>\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\<ユーザ名>\Desktop" です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
MyProgram = %Desktop%\{malware filename}.exe

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
MyProgramOk = %Desktop%\enigma.hta

Webブラウザのホームページおよび検索ページの変更

マルウェアは、IEのゾーン設定を変更します。

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

  • http://{BLOCKED}.{BLOCKED}.204.90/images/tuck.php

マルウェアは、以下の拡張子をもつファイルを暗号化します。

  • .1cd
  • .2d
  • .3dc
  • .7z
  • .aes
  • .asm
  • .asp
  • .asp
  • .aspx
  • .avi
  • .bat
  • .bmp
  • .bz
  • .bz2
  • .bza
  • .bzip
  • .bzip2
  • .cad
  • .cd
  • .cdr
  • .cmd
  • .cpp
  • .crt
  • .csr
  • .csv
  • .czip
  • .dat
  • .dbf
  • .dif
  • .djv
  • .djvu
  • .doc
  • .docb
  • .docm
  • .docx
  • .dwg
  • .fla
  • .gif
  • .gz
  • .gz
  • .gz2
  • .gza
  • .gzi
  • .gzip
  • .hdoc
  • .html
  • .hwp
  • .java
  • .jpeg
  • .jpg
  • .key
  • .kwm
  • .lzma
  • .max
  • .mdb
  • .mdb
  • .mkv
  • .mml
  • .mov
  • .mpeg
  • .mpg
  • .MYD
  • .MYI
  • .odg
  • .odp
  • .ods
  • .odt
  • .odt
  • .otg
  • .otp
  • .ots
  • .ott
  • .pas
  • .pem
  • .php
  • .php
  • .png
  • .pot
  • .potm
  • .potx
  • .ppam
  • .pps
  • .ppsm
  • .ppsx
  • .ppt
  • .ppt
  • .pptm
  • .pptx
  • .pptx
  • .psd
  • .rar
  • .rtf
  • .rtf
  • .slk
  • .sln
  • .sql
  • .sqlite
  • .sqlite
  • .sqlite3
  • .sqlitedb
  • .sqx
  • .sqz
  • .srep
  • .stc
  • .std
  • .sti
  • .stw
  • .swf
  • .sxc
  • .sxi
  • .sxm
  • .sxw
  • .tar
  • .taz
  • .tbk
  • .tbz
  • .tbz2
  • .tg
  • .tgz
  • .tif
  • .tiff
  • .tlz
  • .tlzma
  • .tsk
  • .tx_
  • .txt
  • .txz
  • .tz
  • .uc2
  • .uot
  • .vbs
  • .vdi
  • .wks
  • .wmv
  • .xlc
  • .xlm
  • .xls
  • .xlsb
  • .xlsm
  • .xlsx
  • .xlsx
  • .xlt
  • .xltm
  • .xltx
  • .xlw
  • .xz
  • .zi
  • .zip
  • .zip
  • .zipx
  • .zix

マルウェアは、以下のファイル名を使用し、暗号化されたファイルを改称します。

  • {Original Filename}.enigma
    • ie. Sample.txt.enigma

マルウェアが作成する以下のファイルは、脅迫状です。

  • %Desktop%\enigma_encr.txt(テキストファイル)

マルウェアが作成する以下のファイルは、検索/暗号化したファイルのリストです。

  • %Desktop%\allfilefinds.dat

マルウェアが作成する以下のファイルには、暗号鍵が含まれています。

  • %Desktop%\ENIGMA_682.RSA

マルウェアが作成し実行する以下のファイルは、脅迫状(ウィンドウメッセージ)です。

  • %Desktop%\enigma.hta

マルウェアは、すべてドライブで確認された以下の拡張子を持つファイルを削除します。

  • .aba
  • .abf
  • .abk
  • .acp
  • .as4
  • .asd
  • .ashbak
  • .asvx
  • .ate
  • .ati
  • .bac
  • .bak
  • .bak
  • .bak~
  • .bak2
  • .bak3
  • .bakx
  • .bbb
  • .bbz
  • .bck
  • .bckp
  • .bcm
  • .bk1
  • .bk1
  • .bkc
  • .bkf
  • .bkp
  • .bks
  • .blend1
  • .blend2
  • .bm3
  • .bpa
  • .bpb
  • .bpm
  • .bpn
  • .bps
  • .bup
  • .bup
  • .cbk
  • .cbu
  • .ck9
  • .crds
  • .da0
  • .dash
  • .dba
  • .dbk
  • .diy
  • .dna
  • .dov
  • .fbc
  • .fbf
  • .fbk
  • .fbk
  • .fbu
  • .fbw
  • .fh
  • .fhf
  • .flka
  • .flkb
  • .fpsx
  • .ftmb
  • .ful
  • .fza
  • .gb1
  • .gb2
  • .gbp
  • .gho
  • .ghs
  • .icf
  • .ipd
  • .iv2i
  • .jbk
  • .jdc
  • .kb2
  • .lcb
  • .llx
  • .mbk
  • .mbw
  • .mddata
  • .mdinfo
  • .mem
  • .mig
  • .mpb
  • .mv_
  • .nb7
  • .nba
  • .nbak
  • .nbd
  • .nbd
  • .nbf
  • .nbf
  • .nbi
  • .nbk
  • .nbs
  • .nbu
  • .nco
  • .nfb
  • .nfc
  • .npf
  • .nps
  • .nrbak
  • .nrs
  • .nwbak
  • .obk
  • .oeb
  • .old
  • .onepkg
  • .ori
  • .orig
  • .paq
  • .pbb
  • .pbj
  • .qba
  • .qbb
  • .qbk
  • .qbm
  • .qbmb
  • .qbmd
  • .qbx
  • .qic
  • .qsf
  • .rbc
  • .rbf
  • .rbk
  • .rbs
  • .rdb
  • .rgmb
  • .rmbak
  • .rrr
  • .sbb
  • .sbs
  • .sbu
  • .skb
  • .sn1
  • .sn2
  • .sna
  • .sns
  • .spf
  • .spg
  • .spi
  • .srr
  • .stg
  • .sv$
  • .sv2i
  • .tbk
  • .tdb
  • .tig
  • .tis
  • .tlg
  • .tlg
  • .tmr
  • .trn
  • .ttbk
  • .uci
  • .v2i
  • .vbk
  • .vbm
  • .vpcbackup
  • .vrb
  • .wbb
  • .wbcat
  • .win
  • .win
  • .wjf
  • .wpb
  • .wspak
  • .xlk
  • .yrcbck

  対応方法

対応検索エンジン: 9.800
初回 VSAPI パターンバージョン 12.536.08
初回 VSAPI パターンリリース日 2016年5月19日
VSAPI OPR パターンバージョン 12.537.00
VSAPI OPR パターンリリース日 2016年5月20日

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム(OS)の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル/フォルダ/レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 3

Windowsをセーフモードで再起動します。

[ 詳細 ]

手順 4

このレジストリ値を削除します。

[ 詳細 ]

警告:レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

 
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
    • MyProgram = %Desktop%\{malware filename}.exe
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
    • MyProgramOk = %Desktop%\enigma.hta

手順 5

以下のファイルを検索し削除します。

[ 詳細 ]
コンポーネントファイルが隠しファイル属性の場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • %Desktop%\enigma.hta
  • %Desktop%\enigma_encr.txt
  • %Desktop%\allfilefinds.dat
  • %Desktop%\ENIGMA_682.RSA
  • %User Temp%\b815_appcompat.txt
  • %Application Data%\testStart.txt

手順 6

コンピュータを通常モードで再起動し、最新のバージョン(エンジン、パターンファイル)を導入したウイルス対策製品を用い、「RANSOM_ENIGMA.A」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

手順 7

Internet Explorer(IE)のセキュリティ設定を修正します。

[ 詳細 ]


ご利用はいかがでしたか? アンケートにご協力ください