• Email
• Facebook
• Twitter
• Google+
• Linkedin

RANSOM_WALTRIX.C

---

• マルウェアタイプ: トロイの木馬型
• 破壊活動の有無: なし
• 暗号化: はい
• 感染報告の有無: はい

---

  概要

■ ランサムウェアファイル復号ツール公開

ランサムウェアの脅威が世界的に深刻になっている状況を受けて、ランサムウェアによって暗号化されたファイルの復号ツールをトレンドマイクロは公開しました。この復号ツールの使用方法や復号可能なファイルの条件などの制限事項については以下のダウンロードページを参照してください。

法人向けダウンロードURL：http://esupport.trendmicro.com/solution/ja-JP/1114224.aspx

個人向けダウンロードURL：https://esupport.trendmicro.com/support/vb/solution/ja-jp/1114210.aspx

また、トレンドマイクロでは、ランサムウェアの被害に遭われている法人・個人を対象に無料相談窓口も開設していますので、お困りの方は一度ご相談ください。

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

「CryptXXX」として知られるこの「身代金要求型不正プログラム（ランサムウェア）」は、画面をロックする機能を備えたDLLファイルです。解析を回避するために、ランサムウェアが仮想環境内で実行されていることが分かると、自身の活動を終了します。マルウェアは、「CryptXXX」として知られるDLLファイルで、「Angler Exploit Kit（Angler EK）」によって拡散されます。マルウェアは、画面をロックする機能を備えています 。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、仮想環境内で実行されると、自身の活動を終了します。

---

  詳細

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• ProgramData\{unique ID}.key
• ProgramData\Z - deleted afterwards. contains installation date of this malware
• {folders containing encrypted files}\{unique ID}.bmp - image used as wallpaper
• {folders containing encrypted files}\{unique ID}.html - ransom note
• {folders containing encrypted files}\{unique ID}.txt - ransom note
  
     where {unique ID} contains 12 hexadecimal characters

マルウェアは、以下のプロセスを追加します。

• copy of the legitimate rundll32.exe named as:
  • %User Temp%\svchost.exe
• executes svchost.exe {malware}.dll,MS11{number}

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• {first 5 characters from the unique ID}

自動実行方法

マルウェアは、以下のファイルを作成します。

• %User Startup%\{unique ID}.lnk

(註：%User Startup%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" 、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、" C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。.)

他のシステム変更

マルウェアは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Control Panel\Desktop
TileWallpaper = "0"

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = "{random}\{unique ID}.bmp"

その他

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• .3DM
• .3DS
• .3G2
• .3GP
• .7Z
• .ACCDB
• .AES
• .AI
• .AIF
• .APK
• .APP
• .ARC
• .ASC
• .ASF
• .ASM
• .ASP
• .ASPX
• .ASX
• .AVI
• .BMP
• .BRD
• .BZ2
• .C
• .CER
• .CFG
• .CFM
• .CGI
• .CGM
• .CLASS
• .CMD
• .CPP
• .CRT
• .CS
• .CSR
• .CSS
• .CSV
• .CUE
• .DB
• .DBF
• .DCH
• .DCU
• .DDS
• .DIF
• .DIP
• .DJV
• .DJVU
• .DOC
• .DOCB
• .DOCM
• .DOCX
• .DOT
• .DOTM
• .DOTX
• .DTD
• .DWG
• .DXF
• .EML
• .EPS
• .FDB
• .FLA
• .FLV
• .FRM
• .GADGET
• .GBK
• .GBR
• .GED
• .GIF
• .GPG
• .GPX
• .GZ
• .H
• .H
• .HTM
• .HTML
• .HWP
• .IBD
• .IBOOKS
• .IFF
• .INDD
• .JAR
• .JAVA
• .JKS
• .JPG
• .JS
• .JSP
• .KEY
• .KML
• .KMZ
• .LAY
• .LAY6
• .LDF
• .LUA
• .M
• .M3U
• .M4A
• .M4V
• .MAX
• .MDB
• .MDF
• .MFD
• .MID
• .MKV
• .MML
• .MOV
• .MP3
• .MP4
• .MPA
• .MPG
• .MS11
• .MSI
• .MYD
• .MYI
• .NEF
• .NOTE
• .OBJ
• .ODB
• .ODG
• .ODP
• .ODS
• .ODT
• .OTG
• .OTP
• .OTS
• .OTT
• .P12
• .PAGES
• .PAQ
• .PAS
• .PCT
• .PDB
• .PDF
• .PEM
• .PHP
• .PIF
• .PL
• .PLUGIN
• .PNG
• .POT
• .POTM
• .POTX
• .PPAM
• .PPS
• .PPSM
• .PPSX
• .PPT
• .PPTM
• .PPTX
• .PRF
• .PRIV
• .PRIVAT
• .PS
• .PSD
• .PSPIMAGE
• .PY
• .QCOW2
• .RA
• .RAR
• .RAW
• .RM
• .RSS
• .RTF
• .SCH
• .SDF
• .SH
• .SITX
• .SLDX
• .SLK
• .SLN
• .SQL
• .SQLITE
• .SQLITE
• .SRT
• .STC
• .STD
• .STI
• .STW
• .SVG
• .SWF
• .SXC
• .SXD
• .SXI
• .SXM
• .SXW
• .TAR
• .TBK
• .TEX
• .TGA
• .TGZ
• .THM
• .TIF
• .TIFF
• .TLB
• .TMP
• .TXT
• .UOP
• .UOT
• .VB
• .VBS
• .VCF
• .VCXPRO
• .VDI
• .VMDK
• .VMX
• .VOB
• .WAV
• .WKS
• .WMA
• .WMV
• .WPD
• .WPS
• .WSF
• .XCODEPROJ
• .XHTML
• .XLC
• .XLM
• .XLR
• .XLS
• .XLSB
• .XLSM
• .XLSX
• .XLT
• .XLTM
• .XLTX
• .XLW
• .XML
• .YUV
• .ZIP
• .ZIPX

マルウェアは、以下のファイル名を使用し、暗号化されたファイルを改称します。

• {original file name.file extension}.crypt

マルウェアは、仮想環境内で実行されると、自身の活動を終了します。

マルウェアは、以下のレジストリ値をクエリし、自身が仮想環境で実行されているかを確認します。

• HKEY_LOCAL_MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0\ProcessorNameString

マルウェアは、マウスの動作を確認します。

マルウェアは、感染状況およびユニークIDを収集して自身のサーバへ報告します。

• {BLOCKED}.{BLOCKED}.13.153

マルウェアは、「CryptXXX」として知られるDLLファイルで、「Angler Exploit Kit（Angler EK）」によって拡散されます。マルウェアは、画面をロックする機能を備えています 。

以下はファイル"{unique ID}.key"の内容です。

以下はファイル"ProgramData\Z"の内容です。

マルウェアは、画面をロックし、以下を表示します。

以下はファイル"{unique ID}.bmp"の内容です。

以下はファイル"{unique ID}.txt"の内容です。

以下はファイル"{unique ID}.html"の内容です。

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください