解析者: Jennifer Gumban   

 別名:

Ransom:Win32/Exxroute (Microsoft), Win32/Filecoder.CryptProjectXXX.C trojan (NOD32)

 プラットフォーム:

Windows

 危険度:
 ダメージ度:
 感染力:
 感染確認数:
 情報漏えい:

  • マルウェアタイプ:
    トロイの木馬型

  • 破壊活動の有無:
    なし

  • 暗号化:
    はい

  • 感染報告の有無 :
    はい

  概要

感染経路 インターネットからのダウンロード

■ ランサムウェアファイル復号ツール公開

ランサムウェアの脅威が世界的に深刻になっている状況を受けて、ランサムウェアによって暗号化されたファイルの復号ツールをトレンドマイクロは公開しました。この復号ツールの使用方法や復号可能なファイルの条件などの制限事項については以下のダウンロードページを参照してください。

法人向けダウンロードURL:http://esupport.trendmicro.com/solution/ja-JP///1114224

個人向けダウンロードURL:https://esupport.trendmicro.com/support/vb/solution/ja-jp/1114210.aspx

また、トレンドマイクロでは、ランサムウェアの被害に遭われている法人・個人を対象に無料相談窓口も開設していますので、お困りの方は一度ご相談ください。

トレンドマイクロは、このマルウェアをNoteworthy(要注意)に分類しました。

「CryptXXX」として知られるこの「身代金要求型不正プログラム(ランサムウェア)」は、画面をロックする機能を備えたDLLファイルです。解析を回避するために、ランサムウェアが仮想環境内で実行されていることが分かると、自身の活動を終了します。マルウェアは、「CryptXXX」として知られるDLLファイルで、「Angler Exploit Kit(Angler EK)」によって拡散されます。マルウェアは、画面をロックする機能を備えています 。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、仮想環境内で実行されると、自身の活動を終了します。

  詳細

ファイルサイズ 311,296 bytes
タイプ DLL
メモリ常駐 はい
発見日 2016年5月10日
ペイロード URLまたはIPアドレスに接続, プロセスの強制終了, メッセージボックスの表示

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

  • ProgramData\{unique ID}.key
  • ProgramData\Z - deleted afterwards. contains installation date of this malware
  • {folders containing encrypted files}\{unique ID}.bmp - image used as wallpaper
  • {folders containing encrypted files}\{unique ID}.html - ransom note
  • {folders containing encrypted files}\{unique ID}.txt - ransom note

       where {unique ID} contains 12 hexadecimal characters

マルウェアは、以下のプロセスを追加します。

  • copy of the legitimate rundll32.exe named as:
    • %User Temp%\svchost.exe
  • executes svchost.exe {malware}.dll,MS11{number}

(註:%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\<ユーザー名>\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\<ユーザ名>\AppData\Local\Temp" です。.)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

  • {first 5 characters from the unique ID}

自動実行方法

マルウェアは、以下のファイルを作成します。

  • %User Startup%\{unique ID}.lnk

(註:%User Startup%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\<ユーザ名>\Start Menu\Programs\Startup" 、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、" C:\Users\<ユーザ名>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。.)

他のシステム変更

マルウェアは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Control Panel\Desktop
TileWallpaper = "0"

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = "{random}\{unique ID}.bmp"

その他

マルウェアは、以下の拡張子をもつファイルを暗号化します。

  • .3DM
  • .3DS
  • .3G2
  • .3GP
  • .7Z
  • .ACCDB
  • .AES
  • .AI
  • .AIF
  • .APK
  • .APP
  • .ARC
  • .ASC
  • .ASF
  • .ASM
  • .ASP
  • .ASPX
  • .ASX
  • .AVI
  • .BMP
  • .BRD
  • .BZ2
  • .C
  • .CER
  • .CFG
  • .CFM
  • .CGI
  • .CGM
  • .CLASS
  • .CMD
  • .CPP
  • .CRT
  • .CS
  • .CSR
  • .CSS
  • .CSV
  • .CUE
  • .DB
  • .DBF
  • .DCH
  • .DCU
  • .DDS
  • .DIF
  • .DIP
  • .DJV
  • .DJVU
  • .DOC
  • .DOCB
  • .DOCM
  • .DOCX
  • .DOT
  • .DOTM
  • .DOTX
  • .DTD
  • .DWG
  • .DXF
  • .EML
  • .EPS
  • .FDB
  • .FLA
  • .FLV
  • .FRM
  • .GADGET
  • .GBK
  • .GBR
  • .GED
  • .GIF
  • .GPG
  • .GPX
  • .GZ
  • .H
  • .H
  • .HTM
  • .HTML
  • .HWP
  • .IBD
  • .IBOOKS
  • .IFF
  • .INDD
  • .JAR
  • .JAVA
  • .JKS
  • .JPG
  • .JS
  • .JSP
  • .KEY
  • .KML
  • .KMZ
  • .LAY
  • .LAY6
  • .LDF
  • .LUA
  • .M
  • .M3U
  • .M4A
  • .M4V
  • .MAX
  • .MDB
  • .MDF
  • .MFD
  • .MID
  • .MKV
  • .MML
  • .MOV
  • .MP3
  • .MP4
  • .MPA
  • .MPG
  • .MS11
  • .MSI
  • .MYD
  • .MYI
  • .NEF
  • .NOTE
  • .OBJ
  • .ODB
  • .ODG
  • .ODP
  • .ODS
  • .ODT
  • .OTG
  • .OTP
  • .OTS
  • .OTT
  • .P12
  • .PAGES
  • .PAQ
  • .PAS
  • .PCT
  • .PDB
  • .PDF
  • .PEM
  • .PHP
  • .PIF
  • .PL
  • .PLUGIN
  • .PNG
  • .POT
  • .POTM
  • .POTX
  • .PPAM
  • .PPS
  • .PPSM
  • .PPSX
  • .PPT
  • .PPTM
  • .PPTX
  • .PRF
  • .PRIV
  • .PRIVAT
  • .PS
  • .PSD
  • .PSPIMAGE
  • .PY
  • .QCOW2
  • .RA
  • .RAR
  • .RAW
  • .RM
  • .RSS
  • .RTF
  • .SCH
  • .SDF
  • .SH
  • .SITX
  • .SLDX
  • .SLK
  • .SLN
  • .SQL
  • .SQLITE
  • .SQLITE
  • .SRT
  • .STC
  • .STD
  • .STI
  • .STW
  • .SVG
  • .SWF
  • .SXC
  • .SXD
  • .SXI
  • .SXM
  • .SXW
  • .TAR
  • .TBK
  • .TEX
  • .TGA
  • .TGZ
  • .THM
  • .TIF
  • .TIFF
  • .TLB
  • .TMP
  • .TXT
  • .UOP
  • .UOT
  • .VB
  • .VBS
  • .VCF
  • .VCXPRO
  • .VDI
  • .VMDK
  • .VMX
  • .VOB
  • .WAV
  • .WKS
  • .WMA
  • .WMV
  • .WPD
  • .WPS
  • .WSF
  • .XCODEPROJ
  • .XHTML
  • .XLC
  • .XLM
  • .XLR
  • .XLS
  • .XLSB
  • .XLSM
  • .XLSX
  • .XLT
  • .XLTM
  • .XLTX
  • .XLW
  • .XML
  • .YUV
  • .ZIP
  • .ZIPX

マルウェアは、以下のファイル名を使用し、暗号化されたファイルを改称します。

  • {original file name.file extension}.crypt

マルウェアは、仮想環境内で実行されると、自身の活動を終了します。

マルウェアは、以下のレジストリ値をクエリし、自身が仮想環境で実行されているかを確認します。

  • HKEY_LOCAL_MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0\ProcessorNameString

マルウェアは、マウスの動作を確認します。

マルウェアは、感染状況およびユニークIDを収集して自身のサーバへ報告します。

  • {BLOCKED}.{BLOCKED}.13.153

マルウェアは、「CryptXXX」として知られるDLLファイルで、「Angler Exploit Kit(Angler EK)」によって拡散されます。マルウェアは、画面をロックする機能を備えています 。

以下はファイル"{unique ID}.key"の内容です。

以下はファイル"ProgramData\Z"の内容です。

マルウェアは、画面をロックし、以下を表示します。

以下はファイル"{unique ID}.bmp"の内容です。

以下はファイル"{unique ID}.txt"の内容です。

以下はファイル"{unique ID}.html"の内容です。

  対応方法

対応検索エンジン: 9.800
初回 VSAPI パターンバージョン 12.518.04
初回 VSAPI パターンリリース日 2016年5月10日
VSAPI OPR パターンバージョン 12.519.00
VSAPI OPR パターンリリース日 2016年5月11日

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム(OS)の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル/フォルダ/レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 3

Windowsをセーフモードで再起動します。

[ 詳細 ]

手順 4

変更されたレジストリ値を修正します。

[ 詳細 ]

警告:レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
事前に意図的に対象の設定を変更していた場合は、意図するオリジナルの設定に戻してください。変更する値が分からない場合は、システム管理者にお尋ねいただき、レジストリの編集はお客様の責任として行なって頂くようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_CURRENT_USER\Control Panel\Desktop
    • Wallpaper = "{random}\{unique ID}.bmp"
  • In HKEY_CURRENT_USER\Control Panel\Desktop
    • TileWallpaper = "0"

手順 5

以下のファイルを検索し削除します。

[ 詳細 ]
コンポーネントファイルが隠しファイル属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。  
  • ProgramData\{unique ID}.key
  • %User Startup%\{unique ID}.lnk
  • {folders containing encrypted files}\{unique ID}.bmp
  • {folders containing encrypted files}\{unique ID}.html
  • {folders containing encrypted files}\{unique ID}.txt

手順 6

コンピュータを通常モードで再起動し、最新のバージョン(エンジン、パターンファイル)を導入したウイルス対策製品を用い、「RANSOM_WALTRIX.C」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

■ ランサムウェアファイル復号ツール公開

ランサムウェアの脅威が世界的に深刻になっている状況を受けて、ランサムウェアによって暗号化されたファイルの復号ツールをトレンドマイクロは公開しました。この復号ツールの使用方法や復号可能なファイルの条件などの制限事項については以下のダウンロードページを参照してください。

法人向けダウンロードURL:http://esupport.trendmicro.com/solution/ja-JP///1114224
個人向けダウンロードURL:https://esupport.trendmicro.com/support/vb/solution/ja-jp/1114210.aspx

また、トレンドマイクロでは、ランサムウェアの被害に遭われている法人・個人を対象に無料相談窓口も開設していますので、お困りの方は一度ご相談ください。


ご利用はいかがでしたか? アンケートにご協力ください