RANSOM_ZCRYPT.A

■ ランサムウェアファイル復号ツール公開

ランサムウェアの脅威が世界的に深刻になっている状況を受けて、ランサムウェアによって暗号化されたファイルの復号ツールをトレンドマイクロは公開しました。この復号ツールの使用方法や復号可能なファイルの条件などの制限事項については以下のダウンロードページを参照してください。

法人向けダウンロードURL：http://esupport.trendmicro.com/solution/ja-JP/1114224.aspx

個人向けダウンロードURL：https://esupport.trendmicro.com/support/vb/solution/ja-jp/1114210.aspx

また、トレンドマイクロでは、ランサムウェアの被害に遭われている法人・個人を対象に無料相談窓口も開設していますので、お困りの方は一度ご相談ください。

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

この「身代金要求型不正プログラム（ランサムウェア）」は、自身を拡散する機能を備えた数少ないランサムウェアファミリの一つです。ワームはリムーバルドライブに自身のコピーを作成します。これにより、USBの使用が危険になります。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、特定のWebサイトにアクセスし、情報を送受信します。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\zcrypt.exe -> attributes are set to Hidden and System

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

ワームは、以下のファイルを作成します。

• %Application Data%\btc.addr -> Bitcoin Address
• %Application Data%\cid.ztxt -> contains the victim's ID
• %Application Data%\public.key -> public key
• %Application Data%\private.key -> private key

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

ワームは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• zcrypt1.0

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
zcrypt = {path of the executed malware}

ワームは、以下のファイルを作成します。

• {Removable Drive Letter}:\autorun.inf

ワームは、Windows起動時に自動実行されるよう＜スタートアップ＞フォルダ内に以下のファイルを作成します。

• %User Startup%\zcrypt.lnk -> Shortcut file for the executed malware

(註：%User Startup%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" 、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、" C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。.)

感染活動

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• {Removable Drive Letter}:\System.exe -> attribute is set to Hidden

その他

ワームは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}rewq.ml/rsa/rsa.php?computerid={victim ID}&public=1

ワームは、以下の拡張子をもつファイルを暗号化します。

• .3fr
• .accdb
• .apk
• .arw
• .aspx
• .avi
• .bak
• .bay
• .bmp
• .cdr
• .cer
• .cgi
• .class
• .cpp
• .cr2
• .crt
• .crw
• .dbf
• .dcr
• .der
• .dng
• .doc
• .docx
• .dwg
• .dxg
• .emlx
• .eps
• .erf
• .gz
• .html
• .indd
• .jar
• .java
• .jpeg
• .jpg
• .jsp
• .kdc
• .log
• .mdb
• .mdf
• .mef
• .mp4
• .mpeg
• .msg
• .nrw
• .odb
• .odp
• .ods
• .odt
• .orf
• .p12
• .p7b
• .p7c
• .pdb
• .pdd
• .pdf
• .pef
• .pem
• .pfx
• .php
• .png
• .ppt
• .pptx
• .psd
• .pst
• .ptx
• .r3d
• .raf
• .raw
• .rtf
• .rw2
• .rwl
• .sav
• .sql
• .srf
• .srw
• .swf
• .tar
• .tar
• .txt
• .vcf
• .wb2
• .wmv
• .wpd
• .xls
• .xlsx
• .xml
• .zip

ワームは、以下のファイル名を使用し、暗号化されたファイルを改称します。

• {original filename}.zcrypt

ただし、情報公開日現在、このWebサイトにはアクセスできません。

ワームが感染したコンピュータ内に作成する以下の自身のコピーの属性は、隠しファイルおよびシステムファイル属性に設定されます。

• %Application Data%\zcrypt.exe

ワームは、以下のファイルを作成します。

• %Application Data%\cid.ztxt -> ユーザIDを含みます。
• %Application Data%\public.key -> 公開キー
• %Application Data%\private.key -> 秘密キー
• %Application Data%\btc.addr -> 「Bitcoin（ビットコイン）」のアドレス

ワームがWindows起動時に自動実行されるよう＜スタートアップ＞フォルダ内に作成する以下のフォルダは、実行されるマルウェアに誘導するショートカットです。

• %User Startup%\zcrypt.lnk

ワームは、暗号化されたファイルを以下のファイル名に変更します。

• {original filename}.zcrypt

ワームは、リムーバルドライブ内のファイルを暗号化します。

C&Cサーバ接続されると、脅迫状が”How to decrypt your files.html”として作成されます。