RANSOM_ENIGMA.B

■ ランサムウェアファイル復号ツール公開

ランサムウェアの脅威が世界的に深刻になっている状況を受けて、ランサムウェアによって暗号化されたファイルの復号ツールをトレンドマイクロは公開しました。この復号ツールの使用方法や復号可能なファイルの条件などの制限事項については以下のダウンロードページを参照してください。

法人向けダウンロードURL：http://esupport.trendmicro.com/solution/ja-JP/1114224.aspx

個人向けダウンロードURL：https://esupport.trendmicro.com/support/vb/solution/ja-jp/1114210.aspx

また、トレンドマイクロでは、ランサムウェアの被害に遭われている法人・個人を対象に無料相談窓口も開設していますので、お困りの方は一度ご相談ください。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、実行後、自身を削除します。

マルウェアは、Internet Explorer（IE）のゾーン設定を変更します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\pbkey.pbkey -> public key
• %User Temp%\prkey.prkey -> private key
• %User Temp%\enigma_info.txt -> Ransom Note
• %User Temp%\workstatistic.dat
• %User Temp%\falcon9.falcon
• %Desktop%\E_N_I_G_M_A.RSA -> key file
• %User Temp%\E_N_I_G_M_A.RSA -> key file

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.)

マルウェアは、以下のファイルを作成し実行します。

• %Desktop%\enigma_info.txt -> Ransom Note

(註：%Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.)

マルウェアは、実行後、自身を削除します。

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
bfceedddae = "{Malware Path}\{Malware Filename}.exe"

Webブラウザのホームページおよび検索ページの変更

マルウェアは、IEのゾーン設定を変更します。

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}.{BLOCKED}.201.113/get.php

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• .001
• .002
• .1cd
• .7z
• .bz
• .bz2
• .bza
• .bzip
• .bzip2
• .cd
• .cdr
• .crt
• .csr
• .csv
• .czip
• .dat
• .dbf
• .dif
• .doc
• .docb
• .docm
• .docx
• .dwg
• .gz
• .gz
• .gz2
• .gza
• .gzi
• .gzip
• .hdoc
• .hwp
• .key
• .kwm
• .lzma
• .max
• .mdb
• .mdb
• .mml
• .odg
• .odp
• .ods
• .odt
• .odt
• .otg
• .otp
• .ots
• .ott
• .pdf
• .pem
• .pot
• .potm
• .potx
• .ppam
• .pps
• .ppsm
• .ppsx
• .ppt
• .ppt
• .pptm
• .pptx
• .pptx
• .rar
• .rtf
• .rtf
• .slk
• .sln
• .sqlite
• .sqx
• .sqz
• .srep
• .stc
• .std
• .sti
• .stw
• .sxc
• .sxi
• .sxm
• .sxw
• .tar
• .taz
• .tbz
• .tbz2
• .tg
• .tgz
• .tlz
• .tlzma
• .tsk
• .tx_
• .txt
• .txz
• .tz
• .uc2
• .uot
• .wks
• .xlc
• .xlm
• .xls
• .xlsb
• .xlsm
• .xlsx
• .xlsx
• .xlt
• .xltm
• .xltx
• .xlw
• .xz
• .zi
• .zip
• .zip
• .zipx
• .zix

マルウェアは、以下のファイル名を使用し、暗号化されたファイルを改称します。

• {Original Filename and Extension}.1txt
  • ie. Sample.txt.1txt

マルウェアが作成する以下のファイルは、公開鍵です。

• %User Temp%\pbkey.pbkey

マルウェアが作成する以下のファイルは、秘密鍵です。

• %User Temp%\prkey.prkey

マルウェアが作成する以下のファイルは、脅迫状です。

• %User Temp%\enigma_info.txt

マルウェアが作成する以下は、鍵情報が含まれたファイルです。

• %Desktop%\E_N_I_G_M_A.RSA
• %User Temp%\E_N_I_G_M_A.RSA

マルウェアが作成し、実行する以下のファイルは、脅迫状です。

• %Desktop%\enigma_info.txt

マルウェアは、以下のコマンドを実行してシャドウコピーを削除します。

• vssadmin.exe Delete Shadows /All /Quiet

マルウェアは、以下の脅迫状を作成します。