• Email
• Facebook
• Twitter
• Google+
• Linkedin

Ransom.MSIL.GRIM.THAOBBD

---

• マルウェアタイプ: 身代金要求型不正プログラム（ランサムウェア）
• 破壊活動の有無: なし
• 暗号化: なし
• 感染報告の有無: はい

---

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

特定のフォルダ内のファイルを暗号化します。 以下のファイル拡張子を持つファイルは暗号化しません。

---

  詳細

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

Before encrypting files:
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableTaskMgr = 1

After decrypting files:
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableTaskMgr = 0

HKEY_CURRENT_USER\Environment
SEE_MASK_NOZONECHECKS = 1

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• regedit
• cmd
• sndvol
• processhacker
• procexp
• procexp64
• autoruns64
• autoruns
• dnspy
• ilspy
• ildasm

その他

マルウェアは、以下を実行します。

• It adds the following scheduled task:
  • Location: {Scheduled Task Root Directory}
    Name: CClanarTask
    Trigger: One time {Scheduled Task Create Time} → After triggered, repeat every 00:01:00 indefinitely.
    Action: Start a program → {Malware Path}\{Malware Filename}
• It loads the following URL twice into the default web browser:
  • https://{BLOCKED}mes/claim?name=MrDeadlyDarkRansomware
• It plays an audio in a continuous loop in the background.
• It creates a GUI which consists of the following:
  • Ransom note
  • Countdown timer
  • Textbox to input a key for decryption
  • Decrypt button
    
• It displays the following GUI if the input key is correct:
  
• The decryption routine does the following:
  • It decrypts encrypted files found in %Desktop%.
  • It displays the following message box after decrypting the files:
    
  • It enables the Task Manager through registry modification.
  • It deletes itself after 3 seconds by executing the following process:
    • "%System%\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del {Malware Path}\{Malware Filename}

ランサムウェアの不正活動

マルウェアは、以下のディレクトリ内で確認されたファイルを暗号化します。

• %Desktop% → encrypts all files including subfolders.

(註：%Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\Desktop" です。)

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .grim

以下のファイル拡張子を持つファイルについては暗号化しません：

• .grim

<補足>
その他

マルウェアは、以下を実行します。

• 以下のスケジュールされたタスクを追加します。
  • 場所：{スケジュールされたタスクのルートディレクトリ}
    名前：CClanarTask
    トリガ：一度 {スケジュールされたタスクの作成時間} → トリガ後、00:01:00毎に無期限に繰り返す
    アクション：プログラムを起動する → {マルウェアパス}\{マルウェアのファイル名}
• 既定のWebブラウザ内に以下のURLを2回読み込みます。
  • https://{BLOCKED}mes/claim?name=MrDeadlyDarkRansomware
• バックグラウンドでオーディオを連続的にループ再生します。
• 以下で構成されたGUI を作成します。
  • 身代金要求文書（脅迫状）
  • カウントダウンタイマー
  • 復号鍵を入力するためのテキストボックス
  • 復号用ボタン
    
• 入力された復号鍵が正しい場合、以下のGUIを表示します。
  
• 復号活動では以下を実行します。
  • %Desktop%内の暗号化されたファイルを復号します。
  • ファイルの復号後、以下のメッセージボックスを表示します。
    
  • レジストリの変更を通じて、タスクマネージャを有効にします。
  • 以下のプロセスを実行して、3秒後に自身を削除します。
    • "%System%\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del {マルウェアパス}\{マルウェアのファイル名}

ランサムウェアの不正活動

マルウェアは、以下のディレクトリ内で確認されたファイルを暗号化します。

• %Desktop% → サブフォルダを含むすべてのファイルを暗号化する

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください