RANSOM_SHUJIN.A

■ ランサムウェアファイル復号ツール公開

ランサムウェアの脅威が世界的に深刻になっている状況を受けて、ランサムウェアによって暗号化されたファイルの復号ツールをトレンドマイクロは公開しました。この復号ツールの使用方法や復号可能なファイルの条件などの制限事項については以下のダウンロードページを参照してください。

法人向けダウンロードURL：http://esupport.trendmicro.com/solution/ja-JP/1114224.aspx

個人向けダウンロードURL：https://esupport.trendmicro.com/support/vb/solution/ja-jp/1114210.aspx

また、トレンドマイクロでは、ランサムウェアの被害に遭われている法人・個人を対象に無料相談窓口も開設していますので、お困りの方は一度ご相談ください。

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

この「身代金要求型不正プログラム（ランサムウェア）」は、中国語の脅迫状およびインターフェイスを利用し中国語話者を標的とします。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Desktop%\文件解密帮助.txt - ransom note
• %User Temp%\{8 random numnbers}.bat - used to delete the malware copy. This component is also deleted after execution

(註：%Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

マルウェアが作成する以下のファイルは、脅迫状です。

• %Desktop%\文件解密帮助.txt

マルウェアが作成する以下のファイルは、自身のコピーを削除するのに利用されます。このコンポーネントも実行後に削除されます。

• %User Temp%\{8 random numnbers}.bat

その他

マルウェアは、実行後、自身を削除します。

マルウェアは、暗号化されたファイルの総数および全体のサイズを以下のウィンドウで表示します。

作成された脅迫状には、攻撃者の Webサイトに接続するために匿名通信システム「The Onion Router（Tor）」のブラウザをダウンロードするように指示があります。

以下は、攻撃者の主要なWebサイトのスクリーンショットです。