Ransom.JS.BLACKBYTE.AA
Windows
- マルウェアタイプ: 身代金要求型不正プログラム（ランサムウェア）
- 破壊活動の有無: なし
- 暗号化: はい
- 感染報告の有無: はい
概要
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
ただし、情報公開日現在、このWebサイトにはアクセスできません。
以下のファイル拡張子を持つファイルは暗号化しません。
詳細
侵入方法
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
インストール
マルウェアは、以下のファイルを作成します。
- {Queried host}\C$\Users\Public\blockator
- {Queried host}\Users\Public\blockator
マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。
- %Application Data%\obamka.js
- {Queried host}\C$\Users\Public\obamka.js
- {Queried host}\Users\Public\obamka.js
(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)
マルウェアは、以下のプロセスを追加します。
- netsh advfirewall firewall set rule group="Network Discovery” new enable=Yes
- netsh advfirewall firewall set rule group="File and Printer Sharing" new enable=Yes
- powershell.exe Enable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol
自動実行方法
マルウェアは、以下のサービスを開始します。
- Dnscache
- fdPHost
- FDResPub
- SSDPSRV
- upnphost
- RemoteRegistry
他のシステム変更
マルウェアは、以下のレジストリキーを削除します。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
vssadmin.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
wbadmin.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
bcdedit.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
powershell.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
diskshadow.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
net.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
taskkill.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
wmic.exe
プロセスの終了
マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。
- agntsvc
- CNTAoSMgr
- dbeng50
- dbsnmp
- encsvc
- excel
- firefox
- firefoxconfig
- infopath
- isqlplussvc
- mbamtray
- msaccess
- msftesql
- mspub
- mydesktopqos
- mydesktopservice
- mysqld
- mysqld-nt
- mysqld-opt
- Ntrtscan
- ocautoupds
- ocomm
- ocssd
- onenote
- oracle
- outlook
- PccNTMon
- powerpnt
- sqbcoreservice
- sql
- sqlagent
- sqlbrowser
- sqlservr
- sqlwriter
- steam
- synctime
- tbirdconfig
- thebat
- thebat64
- thunderbird
- tmlisten
- visio
- winword
- wordpad
- xfssvccon
- zoolz
- anydesk
- chrome
- opera
- msedge
- firefox
- iexplore
- explorer
- winlogon
- SearchIndexer
- wininit
- SearchApp
- SearchUI
- Powershell
ダウンロード活動
マルウェアは、以下のWebサイトにアクセスし、ファイルをダウンロードします。
- http://{BLOCKED}.{BLOCKED}.148.114/forest.png
ただし、情報公開日現在、このWebサイトにはアクセスできません。
その他
マルウェアは、以下を実行します。
- It deletes shadow copies and restore points.
- It disables the following services:
- SQLTELEMETRY
- SQLTELEMETRY$ECWDB2
- SQLWriter
- SstpSvc
- MBAMService
- wuauserv
- It does not proceed to the encryption if the download URL does not connect successfully.
- It attempts to dismount virtual hard drives upon encountering VHD and VHDX files on encryption.
- It terminates and deletes scheduled tasks and registry entries with relation to Raccine.
- It terminates if the machine has the following system language:
- Armenian
- Azerbaijan
- Belarusian
- Kazakhstan
- Russia
- Tajik
- Uzbek
- Ukrainian
- Georgian
- Turkmen
以下のスケジュールされたタスクを追加します：
- Task name: joke
Task to be run: wscript.exe {Dropped copy in queried host}
ランサムウェアの不正活動
マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。
- obamka.js
- thumbs.db
- ntdetect.com
- ntuser.dat.log
- bootnxt
- bootsect.bak
- ntldr
- autoexec.bat
- Recycle.Bin
- iconcache.db
- bootmgr
- bootfont.bin
マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。
- .blackbyte
以下のファイル拡張子を持つファイルについては暗号化しません：
- msilog
- log
- ldf
- lock
- theme
- msi
- sys
- wpx
- cpl
- adv
- msc
- scr
- key
- ico
- dll
- hta
- deskthemepack
- nomedia
- msu
- rtp
- msp
- idx
- ani
- 386
- diagcfg
- bin
- mod
- ics
- com
- hlp
- spl
- nls
- cab
- exe
- diagpkg
- icl
- ocx
- rom
- prf
- themepack
- msstyles
- icns
- mpa
- drv
- cur
- diagcab
- cmd
- shs
<補足>
その他
マルウェアは、以下を実行します。
- シャドウコピーおよび復元ポイントを削除します。
- 以下のサービスを無効にします。
- SQLTELEMETRY
- SQLTELEMETRY$ECWDB2
- SQLWriter
- SstpSvc
- MBAMService
- wuauserv
- ダウンロード先URLに正常に接続できない場合は暗号化処理を実行しません。
- 暗号化時にVHDまたはVHDXファイルを検出した場合、仮想ハードドライブの認識を解除しようと試みます。
- Raccine（ランサムウェア・ワクチン｟保護プログラム｠）に関連するスケジュールされたタスクおよびレジストリエントリを終了して削除します。
- 感染コンピュータ内に以下のシステム言語が存在する場合、強制終了します。
- アルメニア語
- アゼルバイジャン語
- ベラルーシ語
- カザフ語
- ロシア語
- タジク語
- ウズベク語
- ウクライナ語
- グルジア語
- トルクメン語
以下のスケジュールされたタスクを追加します：
- タスク名：joke
実行されるタスク：wscript.exe {クエリしたホスト内に作成された自身のコピー}
対応方法
手順 1
トレンドマイクロの機械学習型検索は、マルウェアの存在を示す兆候が確認された時点で検出し、マルウェアが実行される前にブロックします。機械学習型検索が有効になっている場合、弊社のウイルス対策製品はこのマルウェアを以下の機械学習型検出名として検出します。
- Downloader.JS.TRX.XXJSE9EFF029
手順 2
Windows 7、Windows 8、Windows 8.1、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 3
このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。
手順 4
Windowsをセーフモードで再起動します。
手順 5
スケジュールされたタスクを削除する
タスク削除の手順に含まれる{タスク名} - {実行するタスク}には以下が当てはまります。
Task to be run: wscript.exe {Dropped copy in queried host}
Windows 2000、Windows XP、Windows Server 2003の場合：
- [スタート]→[プログラム]→[アクセサリ]→[システムツール]→[スケジュールされたタスク]をクリックして、スケジュールされたタスクを開きます。
- 上記の{タスク名} を、[名前]の欄に入力します。
- 入力した{タスク名} 持つファイルを右クリックします。
- [プロパティ]をクリックします。 [実行]フィールドで、表示されている{実行するタスク}を確認します。
- 上記の{実行するタスク}と文字列が一致するタスクを削除します。
Windows Vista、Windows 7、Windows Server 2008、Windows 8、Windows 8.1、およびWindows Server 2012の場合：
- Windowsタスクスケジューラを開きます。
• Windows Vista、Windows 7、Windows Server 2008の場合、[スタート]をクリックし、[検索]フィールドに「taskchd.msc」と入力してEnterキーを押します。
• Windows 8、Windows 8.1、Windows Server 2012の場合、画面の左下隅を右クリックし、[実行]をクリックし、「taskchd.msc」と入力してEnterキーを押します。 - 左側のパネルで、[タスクスケジューラライブラリ]をクリックします。
- 中央上部のパネルで、上記の{タスク名}を[名前]の欄に入力します。
- 中央下部のパネルで、[アクション]タブをクリックします。 [詳細]の欄で、{実行するタスク}を確認します。
- 文字列が一致するタスクを削除します。
手順 6
以下のファイルを検索し削除します。
- {Queried host}\C$\Users\Public\blockator
- {Queried host}\Users\Public\blockator
- %Application Data%\obamka.js
- {Queried host}\C$\Users\Public\obamka.js
- {Queried host}\Users\Public\obamka.js
手順 7
コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「Ransom.JS.BLACKBYTE.AA」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
手順 8
暗号化されたファイルをバックアップから復元します。
ご利用はいかがでしたか？ アンケートにご協力ください
