RANSOM_HIDDENTEARSHADOW.A

■ ランサムウェアファイル復号ツール公開

ランサムウェアの脅威が世界的に深刻になっている状況を受けて、ランサムウェアによって暗号化されたファイルの復号ツールをトレンドマイクロは公開しました。この復号ツールの使用方法や復号可能なファイルの条件などの制限事項については以下のダウンロードページを参照してください。

法人向けダウンロードURL：http://esupport.trendmicro.com/solution/ja-JP/1114224.aspx

個人向けダウンロードURL：https://esupport.trendmicro.com/support/vb/solution/ja-jp/1114210.aspx

また、トレンドマイクロでは、ランサムウェアの被害に遭われている法人・個人を対象に無料相談窓口も開設していますので、お困りの方は一度ご相談ください。

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

別名「Crypt0Shad0w」として知られるこのランサムウェアは、オンライン上で一般公開されたランサムウェアのコード「Hidden Tear」を元に作成されています。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• C:\Users\{UserName}\table.exe

マルウェアは、以下のプロセスを追加します。

• {malware directory}\ticket.pdf

マルウェアは、身代金を要求する手紙として、テキストファイルを作成します。このテキストファイルは以下の内容を含んでいます。

• "Files has been encrypted with Crypt0Shad0w
  Send some bitcoins or kebab
  And I also hate night clubs, desserts, being drunk."
  

マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成したマルウェア）を終了し、侵入したコンピュータ内で作成した自身のコピーの方を実行します。

作成活動

マルウェアは、以下のファイルを作成します。

• C:\Users\{UserName}\Desktop\CRYPT0_SHAD0W.txt-serves as ransom note
• C:\Users\{UserName}\PRIVATE_PASSWORD_INCOMPLETE.txt-Save the generated random password(deleted after used)
• {malware directory}\adobe.txt
  • The file contains the following strings:
  {ComputerName}-{UserName} {generated random Password}

その他

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• .txt
• .doc
• .docx
• .xls
• .xlsx
• .ppt
• .pptx
• .odt
• .jpg
• .png
• .csv
• .sql
• .mdb
• .sln
• .php
• .asp
• .aspx
• .html
• .xml
• .psd

マルウェアは、以下のファイル名を使用し、暗号化されたファイルを改称します。

• {filename}.locked

マルウェアは、身代金を要求する手紙として、テキストファイルを作成します。このテキストファイルは以下の内容を含んでいます。

• “ファイルは、「Crypt0Shad0w」により暗号化されました。
  ビットコインまたはケバブを送信してください。
  また、私は、ナイトクラブ、デザートおよび酔っ払うことが嫌いです。”

マルウェアが作成する以下のファイルは、脅迫状として機能します。

• C:\Users\{UserName}\Desktop\CRYPT0_SHAD0W.txt

マルウェアが作成する以下のファイルは、生成されたランダムなパスワードを保存し、後で削除されます。

• C:\Users\{UserName}\PRIVATE_PASSWORD_INCOMPLETE.txt

マルウェアが作成する以下のファイルは、文字列＜コンピュータ名＞-＜ユーザ名＞＜生成されたパスワード＞を含みます。

• {malware directory}\adobe.txt

マルウェアは、以下のフォルダおよびそのサブフォルダ内のファイルを暗号化します。

• C:\Users\{UserName}\Desktop