RANSOM_WANA.A

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、ランサムウェア「WannaCry」としても知られています。

マルウェアは、マイクロソフト セキュリティ情報 MS17-010 の脆弱性を利用して拡散します。

マルウェアは、脅迫状としてファイルを作成します。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %ProgramData%\{random}\tasksche.exe

(註：%ProgramData%フォルダは、Windows Vista および 7 の場合、通常、"C:\ProgramData"、Windows 2000、XP (32ビット)、Server 2003 の場合、"C:\Program Files"、Windows XP (64ビット) の場合、"C:\Program Files (x86)" です。)

マルウェアは、以下のコンポーネントファイルを作成します。

• {folder of encrypted files}\@WanaDecryptor@.exe.lnk
• {folder of encrypted files}\@Please_Read_Me@.txt
• {folder of encrypted files}\@WanaDecryptor@.exe ← RANSOM_WCRY.I
• %ProgramData%\{random}\00000000.eky
• %ProgramData%\{random}\00000000.pky
• %ProgramData%\{random}\00000000.res
• %ProgramData%\{random}\@Please_Read_Me@.txt
• %ProgramData%\{random}\@WanaDecryptor@.exe
• %ProgramData%\{random}\@WanaDecryptor@.exe.lnk
• %ProgramData%\{random}\TaskData\Tor\libeay32.dll
• %ProgramData%\{random}\TaskData\Tor\libevent-2-0-5.dll
• %ProgramData%\{random}\TaskData\Tor\libevent_core-2-0-5.dll
• %ProgramData%\{random}\TaskData\Tor\libevent_extra-2-0-5.dll
• %ProgramData%\{random}\TaskData\Tor\libgcc_s_sjlj-1.dll
• %ProgramData%\{random}\TaskData\Tor\libssp-0.dll
• %ProgramData%\{random}\TaskData\Tor\ssleay32.dll
• %ProgramData%\{random}\TaskData\Tor\taskhsvc.exe
• %ProgramData%\{random}\TaskData\Tor\tor.exe
• %ProgramData%\{random}\TaskData\Tor\zlib1.dll
• %ProgramData%\{random}\b.wnry ← background image
• %ProgramData%\{random}\c.wnry ← TOR links
• %ProgramData%\{random}\f.wnry ← list of encrypted files
• %ProgramData%\{random}\r.wnry ← @Please_Read_Me@.txt
• %ProgramData%\{random}\s.wnry ← TOR module
• %ProgramData%\{random}\t.wnry
• %ProgramData%\{random}\taskdl.exe
• %ProgramData%\{random}\tasksche.exe
• %ProgramData%\{random}\taskse.exe
• %ProgramData%\{random}\u.wnry ← @WanaDecryptor@.exe
• %All User Profile%\{random}\00000000.eky
• %All User Profile%\{random}\00000000.pky
• %All User Profile%\{random}\00000000.res
• %All User Profile%\{random}\@Please_Read_Me@.txt
• %All User Profile%\{random}\@WanaDecryptor@.exe
• %All User Profile%\{random}\@WanaDecryptor@.exe.lnk
• %All User Profile%\{random}\TaskData\Tor\libeay32.dll
• %All User Profile%\{random}\TaskData\Tor\libevent-2-0-5.dll
• %All User Profile%\{random}\TaskData\Tor\libevent_core-2-0-5.dll
• %All User Profile%\{random}\TaskData\Tor\libevent_extra-2-0-5.dll
• %All User Profile%\{random}\TaskData\Tor\libgcc_s_sjlj-1.dll
• %All User Profile%\{random}\TaskData\Tor\libssp-0.dll
• %All User Profile%\{random}\TaskData\Tor\ssleay32.dll
• %All User Profile%\{random}\TaskData\Tor\taskhsvc.exe
• %All User Profile%\{random}\TaskData\Tor\tor.exe
• %All User Profile%\{random}\TaskData\Tor\zlib1.dll
• %All User Profile%\{random}\b.wnry
• %All User Profile%\{random}\c.wnry ← TOR links
• %All User Profile%\{random}\f.wnry ← list of encrypted files
• %All User Profile%\{random}\r.wnry ← @Please_Read_Me@.txt
• %All User Profile%\{random}\s.wnry ← TOR module
• %All User Profile%\{random}\t.wnry
• %All User Profile%\{random}\taskdl.exe
• %All User Profile%\{random}\tasksche.exe
• %All User Profile%\{random}\taskse.exe
• %All User Profile%\{random}\u.wnry ← @WanaDecryptor@.exe
• %User Temp%\{number}.WNCRYT ← temporary files
• %Desktop%\@Please_Read_Me@.txt
• %Desktop%\@WanaDecryptor@.bmp
• %Desktop%\@WanaDecryptor@.exe

(註：%ProgramData%フォルダは、Windows Vista および 7 の場合、通常、"C:\ProgramData"、Windows 2000、XP (32ビット)、Server 2003 の場合、"C:\Program Files"、Windows XP (64ビット) の場合、"C:\Program Files (x86)" です。. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.)

マルウェアは、以下のフォルダを作成します。

• %ProgramData%\{random} ← malware path
• %ProgramData%\{random}\msg ← language notes
• %ProgramData%\{random}\TaskData
• %ProgramData%\{random}\TaskData\Data
• %ProgramData%\{random}\TaskData\Data\Tor
• %ProgramData%\{random}\TaskData\Tor
• %All User Profile%\{random}\msg ← language notes
• %All User Profile%\{random}\TaskData
• %All User Profile%\{random}\TaskData\Data
• %All User Profile%\{random}\TaskData\Data\Tor
• %All User Profile%\{random}\TaskData\Tor

(註：%ProgramData%フォルダは、Windows Vista および 7 の場合、通常、"C:\ProgramData"、Windows 2000、XP (32ビット)、Server 2003 の場合、"C:\Program Files"、Windows XP (64ビット) の場合、"C:\Program Files (x86)" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\MsWinZonesCacheCounterMutexA

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random} = "%ProgramData%\{random}\tasksche.exe"

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Classes\
VirtualStore\MACHINE\SOFTWARE\
WanaCrypt0r

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\WanaCrypt0r
wd = "%ProgramData%\{random}"

マルウェアは、以下のレジストリ値を変更し、デスクトップの壁紙を変更します。

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = "%Desktop%\@WanaDecryptor@.bmp"

(註：変更前の上記レジストリ値は、「{user settings}」となります。)

マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。

その他

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• .123
• .3dm
• .3ds
• .3g2
• .3gp
• .602
• .7z
• .ARC
• .PAQ
• .accdb
• .aes
• .ai
• .asc
• .asf
• .asm
• .asp
• .avi
• .backup
• .bak
• .bat
• .bmp
• .brd
• .bz2
• .cgm
• .class
• .cmd
• .cpp
• .crt
• .cs
• .csr
• .csv
• .db
• .dbf
• .dch
• .der
• .dif
• .dip
• .djvu
• .doc
• .docb
• .docm
• .docx
• .dot
• .dotm
• .dotx
• .dwg
• .edb
• .eml
• .fla
• .flv
• .frm
• .gif
• .gpg
• .gz
• .hwp
• .ibd
• .iso
• .jar
• .java
• .jpeg
• .jpg
• .js
• .jsp
• .key
• .lay
• .lay6
• .ldf
• .m3u
• .m4u
• .max
• .mdb
• .mdf
• .mid
• .mkv
• .mml
• .mov
• .mp3
• .mp4
• .mpeg
• .mpg
• .msg
• .myd
• .myi
• .nef
• .odb
• .odg
• .odp
• .ods
• .odt
• .onetoc2
• .ost
• .otg
• .otp
• .ots
• .ott
• .p12
• .pas
• .pdf
• .pem
• .pfx
• .php
• .pl
• .png
• .pot
• .potm
• .potx
• .ppam
• .pps
• .ppsm
• .ppsx
• .ppt
• .pptm
• .pptx
• .ps1
• .psd
• .pst
• .rar
• .raw
• .rb
• .rtf
• .sch
• .sh
• .sldm
• .sldx
• .slk
• .sln
• .snt
• .sql
• .sqlite3
• .sqlitedb
• .stc
• .std
• .sti
• .stw
• .suo
• .svg
• .swf
• .sxc
• .sxd
• .sxi
• .sxm
• .sxw
• .tar
• .tbk
• .tgz
• .tif
• .tiff
• .txt
• .uop
• .uot
• .vb
• .vbs
• .vcd
• .vdi
• .vmdk
• .vmx
• .vob
• .vsd
• .vsdx
• .wav
• .wb2
• .wk1
• .wks
• .wma
• .wmv
• .xlc
• .xlm
• .xls
• .xlsb
• .xlsm
• .xlsx
• .xlt
• .xltm
• .xltx
• .xlw
• .zip

ランサムウェアの不正活動

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• \Intel
• \ProgramData
• \WINDOWS
• \Program Files
• \Program Files (x86)
• \AppData\Local\Temp
• \Local Settings\Temp
• Temporary Internet Files
• Content.IE5

マルウェアは、以下の名称を利用して暗号化されたファイルのファイル名を改称します。

• {original filename}.WNCRY

マルウェアが作成する以下のファイルは、脅迫状です。

マルウェアは、以下のコンポーネントファイルを作成します。

• ＜暗号化されたファイルのフォルダ＞\@WanaDecryptor@.exe.lnk
• ＜暗号化されたファイルのフォルダ＞\@Please_Read_Me@.txt
• ＜暗号化されたファイルのフォルダ＞\@WanaDecryptor@.exe
  （「RANSOM_WCRY.I」として検出されるファイル）
• %ProgramData%\＜ランダム＞\00000000.eky
• %ProgramData%\＜ランダム＞\00000000.pky
• %ProgramData%\＜ランダム＞\00000000.res
• %ProgramData%\＜ランダム＞\@Please_Read_Me@.txt
• %ProgramData%\＜ランダム＞\@WanaDecryptor@.exe
• %ProgramData%\＜ランダム＞\@WanaDecryptor@.exe.lnk
• %ProgramData%\＜ランダム＞\TaskData\Tor\libeay32.dll
• %ProgramData%\＜ランダム＞\TaskData\Tor\libevent-2-0-5.dll
• %ProgramData%\＜ランダム＞\TaskData\Tor\libevent_core-2-0-5.dll
• %ProgramData%\＜ランダム＞\TaskData\Tor\libevent_extra-2-0-5.dll
• %ProgramData%\＜ランダム＞\TaskData\Tor\libgcc_s_sjlj-1.dll
• %ProgramData%\＜ランダム＞\TaskData\Tor\libssp-0.dll
• %ProgramData%\＜ランダム＞\TaskData\Tor\ssleay32.dll
• %ProgramData%\＜ランダム＞\TaskData\Tor\taskhsvc.exe
• %ProgramData%\＜ランダム＞\TaskData\Tor\tor.exe
• %ProgramData%\＜ランダム＞\TaskData\Tor\zlib1.dll
• %ProgramData%\＜ランダム＞\b.wnry
  （背景画像）
• %ProgramData%\＜ランダム＞\c.wnry
  （「Tor」のWebサイトへのリンク）
• %ProgramData%\＜ランダム＞\f.wnry
  （暗号化されたファイルのリスト）
• %ProgramData%\＜ランダム＞\r.wnry
  （@Please_Read_Me@.txt）
• %ProgramData%\＜ランダム＞\s.wnry
  （「Tor」のモジュール）
• %ProgramData%\＜ランダム＞\t.wnry
• %ProgramData%\＜ランダム＞\taskdl.exe
• %ProgramData%\＜ランダム＞\tasksche.exe
• %ProgramData%\＜ランダム＞\taskse.exe
• %ProgramData%\＜ランダム＞\u.wnry @WanaDecryptor@.exe
• %All User Profile%\＜ランダム＞\00000000.eky
• %All User Profile%\＜ランダム＞\00000000.pky
• %All User Profile%\＜ランダム＞\00000000.res
• %All User Profile%\＜ランダム＞\@Please_Read_Me@.txt
• %All User Profile%\＜ランダム＞\@WanaDecryptor@.exe
• %All User Profile%\＜ランダム＞\@WanaDecryptor@.exe.lnk
• %All User Profile%\＜ランダム＞\TaskData\Tor\libeay32.dll
• %All User Profile%\＜ランダム＞\TaskData\Tor\libevent-2-0-5.dll
• %All User Profile%\＜ランダム＞\TaskData\Tor\libevent_core-2-0-5.dll
• %All User Profile%\＜ランダム＞\TaskData\Tor\libevent_extra-2-0-5.dll
• %All User Profile%\＜ランダム＞\TaskData\Tor\libgcc_s_sjlj-1.dll
• %All User Profile%\＜ランダム＞\TaskData\Tor\libssp-0.dll
• %All User Profile%\＜ランダム＞\TaskData\Tor\ssleay32.dll
• %All User Profile%\＜ランダム＞\TaskData\Tor\taskhsvc.exe
• %All User Profile%\＜ランダム＞\TaskData\Tor\tor.exe
• %All User Profile%\＜ランダム＞\TaskData\Tor\zlib1.dll
• %All User Profile%\＜ランダム＞\b.wnry
• %All User Profile%\＜ランダム＞\c.wnry
  （「Tor」へのリンク）
• %All User Profile%\＜ランダム＞\f.wnry
  （暗号化されたファイルのリスト）
• %All User Profile%\＜ランダム＞\r.wnry @Please_Read_Me@.txt
• %All User Profile%\＜ランダム＞\s.wnry
  （「Tor」のモジュール）
• %All User Profile%\＜ランダム＞\t.wnry
• %All User Profile%\＜ランダム＞\taskdl.exe
• %All User Profile%\＜ランダム＞\tasksche.exe
• %All User Profile%\＜ランダム＞\taskse.exe %All User Profile%\＜ランダム＞\u.wnry @WanaDecryptor@.exe
• %User Temp%\＜ランダム＞.WNCRYT
  （一時ファイル）
• %Desktop%\@Please_Read_Me@.txt
  （脅迫状）
• %Desktop%\@WanaDecryptor@.bmp
  （脅迫状）
• %Desktop%\@WanaDecryptor@.exe
  （「RANSOM_WCRY.I」として検出されるファイル）

マルウェアは、以下のレジストリ値を変更し、デスクトップの壁紙を変更します。

• HKEY_CURRENT_USER\Control Panel\Desktop Wallpaper = "%Desktop%\@WanaDecryptor@.bmp"
  註: レジストリ値のデフォルト設定値は＜user settings＞です。

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• 0.123
• .3dm
• .3ds
• .3g2
• .3gp
• 0.602
• .7z
• .ARC
• .PAQ
• .accdb
• .aes
• .ai
• .asc
• .asf
• .asm
• .asp
• .avi
• .backup
• .bak
• .bat
• .bmp
• .brd
• .bz2
• .cgm
• .class
• .cmd
• .cpp
• .crt
• .cs
• .csr
• .csv
• .db
• .dbf
• .dch
• .der
• .dif
• .dip
• .djvu
• .doc
• .docb
• .docm
• .docx
• .dot
• .dotm
• .dotx
• .dwg
• .edb
• .eml
• .fla
• .flv
• .frm
• .gif
• .gpg
• .gz
• .hwp
• .ibd
• .iso
• .jar
• .java
• .jpeg
• .jpg
• .js
• .jsp
• .key
• .lay
• .lay6
• .ldf
• .m3u
• .m4u
• .max
• .mdb
• .mdf
• .mid
• .mkv
• .mml
• .mov
• .mp3
• .mp4
• .mpeg
• .mpg
• .msg
• .myd
• .myi
• .nef
• .odb
• .odg
• .odp
• .ods
• .odt
• .onetoc2
• .ost
• .otg
• .otp
• .ots
• .ott
• .p12
• .pas
• .pdf
• .pem
• .pfx
• .php
• .pl
• .png
• .pot
• .potm
• .potx
• .ppam
• .pps
• .ppsm
• .ppsx
• .ppt
• .pptm
• .pptx
• .ps1
• .psd
• .pst
• .rar
• .raw
• .rb
• .rtf
• .sch
• .sh
• .sldm
• .sldx
• .slk
• .sln
• .snt
• .sql
• .sqlite3
• .sqlitedb
• .stc
• .std
• .sti
• .stw
• .suo
• .svg
• .swf
• .sxc
• .sxd
• .sxi
• .sxm
• .sxw
• .tar
• .tbk
• .tgz
• .tif
• .tiff
• .txt
• .uop
• .uot
• .vb
• .vbs
• .vcd
• .vdi
• .vmdk
• .vmx
• .vob
• .vsd
• .vsdx
• .wav
• .wb2
• .wk1
• .wks
• .wma
• .wmv
• .xlc
• .xlm
• .xls
• .xlsb
• .xlsm
• .xlsx
• .xlt
• .xltm
• .xltx
• .xlw
• .zip

マルウェアは、以下のフォルダ内のファイルは暗号化しません。

• \Intel
• \ProgramData
• \WINDOWS
• \Program Files
• \Program Files (x86)
• \AppData\Local\Temp
• \Local Settings\Temp
• Temporary Internet Files
• Content.IE5

マルウェアは、暗号化したファイルのファイル名を以下のように改称します。

• ＜元のファイル名＞.WNCRY

マルウェアは、脅迫状として以下のファイルを作成します。

マルウェアは、以下の脆弱性を利用します。

• マイクロソフト セキュリティ情報 MS17-010

マルウェアは、ファイル暗号化のための準備として以下のコマンドを実行します。

• cmd.exe /c vssadmin delete shadows /all /quiet & wmic shadowcopy delete & bcdedit /set {default} bootstatuspolicy ignoreallfailures & bcdedit /set {default} recoveryenabled no & wbadmin delete catalog -quiet
• attrib +h .
• icacls . /grant Everyone:F /T /C /Q
• taskkill.exe /f /im Microsoft.Exchange.*
• taskkill.exe /f /im MSExchange*
• taskkill.exe /f /im sqlserver.exe
• taskkill.exe /f /im sqlwriter.exe
• taskkill.exe /f /im mysqld.exe

マルウェアは、以下の身代金要求画面を表示します。表示される言語は、マルウェアが利用する言語ファイルにより異なります。

マルウェアは、脅迫状の表示に用いられるメッセージのフォルダに、以下のファイルを作成します。ファイルにはさまざまな言語で書かれた脅迫状のメッセージが含まれています。

• m_bulgarian.wnry
• m_chinese (simplified).wnry
• m_chinese (traditional).wnry
• m_croatian.wnry
• m_czech.wnry
• m_danish.wnry
• m_dutch.wnry
• m_english.wnry
• m_filipino.wnry
• m_finnish.wnry
• m_french.wnry
• m_german.wnry
• m_greek.wnry
• m_indonesian.wnry
• m_italian.wnry
• m_japanese.wnry
• m_korean.wnry
• m_latvian.wnry
• m_norwegian.wnry
• m_polish.wnry
• m_portuguese.wnry
• m_romanian.wnry
• m_russian.wnry
• m_slovak.wnry
• m_spanish.wnry
• m_swedish.wnry
• m_turkish.wnry
• m_vietnamese.wnry

マルウェアは、ルートキット機能を備えていません。