Ransom.Win32.DOGECRYPT.A
Ransom:Win32/InsaneCrypt.A (MICROSOFT); Trojan-Ransom.FileCrypter (IKARUS)
Windows
- マルウェアタイプ: 身代金要求型不正プログラム（ランサムウェア）
- 破壊活動の有無: なし
- 暗号化: なし
- 感染報告の有無: はい
概要
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
詳細
侵入方法
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
インストール
マルウェアは、以下のファイルを作成します。
- %Application Data%\AppData\Roaming\Microsoft\Crypto\RSA\{User ID}
- %System Root%\desucryptKeyContainer.info
- %System Root%\DOGECRYPTinfo.jpg - used as wallpaper
(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)
マルウェアは、以下のプロセスを追加します。
- cmd.exe / c vssadmin delete shadows / all / quiet & wmic shadowcopy delete & bcdedit / set{ default } bootstatuspolicy ignoreallfailures & bcdedit / set{ default } recoveryenabled no & wbadmin delete catalog - quiet
他のシステム変更
マルウェアは、以下のレジストリ値を追加します。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer
GlobalAssocChangedCounter = 36
マルウェアは、以下のレジストリ値を変更し、デスクトップの壁紙を変更します。
HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %System Root%\DOGECRYPTinfo.jpg
マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。
その他
マルウェアは、以下の拡張子をもつファイルを暗号化します。
- 123
- 3dm
- 3ds
- 3g2
- 3gp
- 602
- 7z
- accdb
- aes
- ai
- ARC
- asc
- asf
- asm
- asp
- avi
- backup
- bak
- bat
- bmp
- brd
- bz2
- c
- cgm
- class
- cmd
- cpp
- crt
- cs
- csr
- css
- csv
- dat
- db
- dbf
- dch
- der
- dif
- dip
- djvu
- doc
- docb
- docm
- docx
- dot
- dotm
- dotx
- dwg
- edb
- eml
- fla
- flv
- frm
- gif
- gpg
- gz
- h
- html
- hwp
- ibd
- IMG
- iso
- jar
- java
- jpeg
- jpg
- js
- jsp
- key
- lay
- lay6
- ldf
- m3u
- m4u
- max
- mdb
- mdf
- mid
- mkv
- mlm
- mov
- mp3
- mp4
- mpeg
- mpg
- msg
- myd
- myi
- nef
- odb
- odg
- odp
- ods
- odt
- onetoc2
- ost
- otg
- otp
- ots
- ott
- p12
- PAQ
- pas
- pem
- pfx
- php
- pl
- png
- pot
- potm
- potx
- ppam
- pps
- ppsm
- ppsx
- ppt
- pptm
- pptx
- ps1
- psd
- pst
- py
- rar
- raw
- rb
- rtf
- sch
- sh
- sldm
- sldx
- slk
- sln
- snt
- sql
- sqlite3
- sqlitedb
- stc
- std
- sti
- stw
- suo
- svg
- swf
- sxc
- sxd
- sxi
- sxm
- sxw
- tar
- tbk
- tgz
- tif
- tiff
- txt
- uop
- uot
- vb
- vbs
- vcd
- vdi
- vmdk
- vmx
- vob
- vsd
- vsdx
- wav
- wb2
- wk1
- wks
- wma
- wmv
- xlc
- xlm
- xls
- xlsb
- xlsm
- xlsx
- xlt
- xltm
- xltx
- xlw
- zip
ランサムウェアの不正活動
マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。
- Default
- All Users
- Content.IE5
- Temporary Internet Files
- Local Settings
- AppData
- Program Files (x86)
- Program Files
- Windows
- Microsoft
- Program Data
- ProgramData
- Intel
- $Recycle.Bin
マルウェアは、以下の名称を利用して暗号化されたファイルのファイル名を改称します。
- {Encrypted directory}\{original filename}.{original extension}.[{BLOCKED}membersss@{BLOCKED}mail.ch].DogeCrypt
マルウェアは、以下の内容を含む脅迫状のテキストファイルを残します。
- %Public%\Desktop\note.txt
対応方法
手順 1
トレンドマイクロの機械学習型検索は、マルウェアの存在を示す兆候が確認された時点で検出し、マルウェアが実行される前にブロックします。機械学習型検索が有効になっている場合、弊社のウイルス対策製品はこのマルウェアを以下の機械学習型検出名として検出します。
- Troj.Win32.TRX.XXPE50FFF036
手順 2
Windows 7、Windows 8、Windows 8.1、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 3
このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。
手順 4
「Ransom.Win32.DOGECRYPT.A」で検出したファイル名を確認し、そのファイルを終了します。
- すべての実行中プロセスが、Windows のタスクマネージャに表示されない場合があります。この場合、"Process Explorer" などのツールを使用しマルウェアのファイルを終了してください。"Process Explorer" については、こちらをご参照下さい。
- 検出ファイルが、Windows のタスクマネージャまたは "Process Explorer" に表示されるものの、削除できない場合があります。この場合、コンピュータをセーフモードで再起動してください。
セーフモードについては、こちらをご参照下さい。 - 検出ファイルがタスクマネージャ上で表示されない場合、次の手順にお進みください。
手順 5
以下のファイルを検索し削除します。
- %Application Data%\AppData\Roaming\Microsoft\Crypto\RSA\{User ID}
- %System Root%\desucryptKeyContainer.info
- %System Root%\DOGECRYPTinfo.jpg
- %Public%\Desktop\note.txt
手順 8
デスクトッププロパティを修正します。
手順 9
暗号化されたファイルをバックアップから復元します。
手順 10
コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「Ransom.Win32.DOGECRYPT.A」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
ご利用はいかがでしたか？ アンケートにご協力ください