Ransom.Win32.TFLOWER.A
Trojan.Win32.DelShad.aex (Kaspersky); Ransom.FileCryptor (Malwarebytes)
Windows
- マルウェアタイプ: 身代金要求型不正プログラム（ランサムウェア）
- 破壊活動の有無: なし
- 暗号化: なし
- 感染報告の有無: はい
概要
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
詳細
侵入方法
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
インストール
マルウェアは、以下のプロセスを追加します。
- bcdedit.exe /set {default} recoveryenabled no
- bcdedit.exe /set {default} bootstatuspolicy ignoreallfailures
- bcdedit.exe /set {current} recoveryenabled no
- bcdedit.exe /set {current} bootstatuspolicy ignoreallfailures
- vssadmin.exe delete shadows /all /quiet -> Deletes Shadow Copy
自動実行方法
マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{Random Text} = {malware location}\{malware name}.exe
ランサムウェアの不正活動
マルウェアは、以下の文字列を含むファイルを暗号化します。
- 0
- 00
- 000
- 001
- 002
- 003
- 01
- 1
- 3gp
- 7z
- a
- a3m
- a3w
- a4m
- a4p
- a4w
- a5w
- aam
- aas
- abk
- abs
- ace
- ada
- adb
- adf
- adi
- aep
- af2
- af3
- ai
- aif
- aifc
- aiff
- aim
- ais
- akd
- all
- ams
- anc
- apk
- aps
- ari
- arj
- array
- art
- asa
- asc
- asd
- asf
- asm
- asp
- asx
- atw
- au
- avi
- avr
- backup
- bak
- bas
- bat
- bdf
- bgl
- bhd
- bi
- bif
- bik
- bin
- bip
- bk
- bkf
- bks
- bmp
- book
- brdf
- brx
- bsp
- btm
- bud
- bw
- bwv
- c
- cab
- cad
- cal
- cap
- cc
- ccb
- cch
- cco
- cct
- cda
- cdf
- cdi
- cdm
- cdr
- cdt
- cdx
- cer
- cert
- cfg
- cgi
- cgm
- chk
- chm
- ci
- cif
- cil
- class
- cll
- cls
- cmd
- cmf
- cmv
- cmx
- cnf
- cod
- config
- content
- cpp
- cpr
- cpt
- cpx
- crd
- crp
- crt
- cs
- csc
- csp
- cst
- csv
- ctl
- cxx
- dae
- dat
- db
- dbc
- dbf
- dbx
- dcm
- dcs
- dct
- dcu
- dcx
- dds
- dek
- dem
- dep
- der
- dewf
- dex
- dib
- dif
- dig
- dir
- dll
- doc
- docx
- dod
- dor
- dot
- dps
- draw
- drv
- drw
- dsf
- dsg
- dsm
- dsp
- dsq
- dsw
- dtd
- dv
- dxr
- eda
- edb
- emf
- eml
- epr
- eps
- exe
- fax
- fbx
- fcd
- fla
- flc
- flo
- flv
- gdb
- gho
- gif
- gl
- go
- grp
- gz
- h
- hipnc
- hpp
- ht
- htm
- html
- htx
- hwp
- icc
- icm
- ico
- idf
- idx
- incf
- inf
- ini
- inp
- iso
- jar
- java
- jbf
- jf
- jfif
- jif
- jpe
- jpeg
- jpg
- js
- json
- jsp
- jtd
- jtf
- kar
- kbx
- kdb
- kdbx
- key
- lab
- ldf
- lib
- log
- lst
- m1v
- m3u
- mad
- maf
- mam
- map
- maq
- mar
- mat
- max
- mbx
- md5
- mdb
- mdf
- mdbx
- mid
- mkv
- mli
- mod
- mor
- mov
- mp2
- mp3
- mp4
- mpa
- mpe
- mpeg
- mpg
- mpp
- mrimg
- msg
- msi
- mst
- mxf
- ncb
- nds
- obj
- ocx
- ods
- odt
- ogg
- olb
- ole
- olp
- ora
- p12
- pak
- pas
- pbd
- pbl
- pem
- pfx
- php
- php3
- phtml
- pic
- pjt
- pjx
- pkg
- png
- pot
- ppk
- pps
- ppt
- pptx
- prfpset
- propert
- prproj
- psd
- psp
- pub
- py
- pyc
- pyw
- qic
- qif
- ra
- ram
- rar
- rb
- rdf
- rdg
- reg
- res
- rm
- rsrc
- rtf
- s
- sav
- sbl
- scc
- sfx
- sh
- shtml
- shw
- sid
- ska
- so
- spl
- sqc
- sql
- sqlite
- sqr
- swa
- swf
- sys
- tar
- taz
- tga
- tgz
- thn
- tif
- tiff
- tlb
- tlog
- tmp
- tps
- trm
- ttf
- txt
- udk
- ult
- upk
- url
- vbp
- vbs
- vbw
- vbx
- vct
- vdi
- vhd
- vhdx
- vir
- viv
- vob
- vsd
- vss
- vxd
- w3l
- wab
- wad
- war
- wav
- wbem
- wbk
- wcm
- wdb
- wid
- wil
- wiz
- wll
- wmf
- wmv
- wow
- wp
- wpd
- wpf
- wpg
- wps
- wpt
- x
- xar
- xla
- xlb
- xlc
- xld
- xlk
- xll
- xlm
- xlo
- xls
- xlsx
- xlt
- xlv
- xlw
- xml
- xmp
- yaml
- z
- zap
- zip
- ztl
マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。
- sample music
- windows
- !_Notice_!.txt
- {malware filename}
マルウェアが作成する以下のファイルは、脅迫状です。
- {Infected Directory}\!_Notice_!.txt
対応方法
手順 1
Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 2
このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。
手順 3
Windowsをセーフモードで再起動します。
手順 4
このレジストリ値を削除します。
警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- {random text} = {malware location}\{malware name}.exe
- {random text} = {malware location}\{malware name}.exe
手順 5
コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「Ransom.Win32.TFLOWER.A」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
ご利用はいかがでしたか？ アンケートにご協力ください