RANSOM_WALTRIX.HA
Win32/Filecoder.CryptProjectXXX.E trojan (ESET)
Windows
- マルウェアタイプ: トロイの木馬型
- 破壊活動の有無: なし
- 暗号化: はい
- 感染報告の有無: はい
概要
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
詳細
侵入方法
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
マルウェアは、以下の方法でコンピュータに侵入します。
- delivered by exploit kits
インストール
マルウェアは、以下のファイルを作成します。
- %AppDataLocal%\VirtualStore\Z - deleted afterwards; contains installation date of the malware
- %AppDataLocal%\VirtualStore\{unique ID}.key
- %AppDataLocal%\VirtualStore\{unique ID}.bmp - wallpaper image
- %AppDataLocal%\VirtualStore\{unique ID}.html - ransom note
- {folders containing encrypted files}\!Recovery_{unique ID}.bmp - wallpaper image
- {folders containing encrypted files}\!Recovery_{unique ID}.html - ransom note
- {folders containing encrypted files}\!Recovery_{unique ID}.txt - ransom note
where {unique ID} contains 12 hexadecimal characters
(註：%AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。)
マルウェアは、以下のプロセスを追加します。
- copy of the file that executed this ransomware (such as rundll32.exe or regsvr32.exe) named as:
- {malware path}\svchost.exe
- executes svchost.exe {malware}.dll, MS11{number}
自動実行方法
マルウェアは、Windows起動時に自動実行されるよう＜User Startup＞フォルダ内に以下のファイルを作成します。
- %User Startup%\{unique ID}.lnk
(註：%User Startup%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" 、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、" C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。.)
他のシステム変更
マルウェアは、以下のファイルを改変します。
- It encrypts files and appends the extension .crypt
マルウェアは、以下のレジストリ値を変更し、デスクトップの壁紙を変更します。
HKEY_CURRENT_USER\Control Panel\Desktop
TileWallpaper = "0"
HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = "{random}\{unique ID}.bmp"
その他
マルウェアは、以下の画像を表示します。
マルウェアは、以下の拡張子をもつファイルを暗号化します。
- .3DM
- .3DS
- .3G2
- .3GP
- .7Z
- .ACCDB
- .AES
- .AI
- .AIF
- .APK
- .APP
- .ARC
- .ASC
- .ASF
- .ASM
- .ASP
- .ASPX
- .ASX
- .AVI
- .BMP
- .BRD
- .BZ2
- .C
- .CER
- .CFG
- .CFM
- .CGI
- .CGM
- .CLASS
- .CMD
- .CPP
- .CRT
- .CS
- .CSR
- .CSS
- .CSV
- .CUE
- .DB
- .DBF
- .DCH
- .DCU
- .DDS
- .DIF
- .DIP
- .DJV
- .DJVU
- .DOC
- .DOCB
- .DOCM
- .DOCX
- .DOT
- .DOTM
- .DOTX
- .DTD
- .DWG
- .DXF
- .EML
- .EPS
- .FDB
- .FLA
- .FLV
- .FRM
- .GADGET
- .GBK
- .GBR
- .GED
- .GIF
- .GPG
- .GPX
- .GZ
- .H
- .H
- .HTM
- .HTML
- .HWP
- .IBD
- .IBOOKS
- .IFF
- .INDD
- .JAR
- .JAVA
- .JKS
- .JPG
- .JS
- .JSP
- .KEY
- .KML
- .KMZ
- .LAY
- .LAY6
- .LDF
- .LUA
- .M
- .M3U
- .M4A
- .M4V
- .MAX
- .MDB
- .MDF
- .MFD
- .MID
- .MKV
- .MML
- .MOV
- .MP3
- .MP4
- .MPA
- .MPG
- .MS11
- .MSI
- .MYD
- .MYI
- .NEF
- .NOTE
- .OBJ
- .ODB
- .ODG
- .ODP
- .ODS
- .ODT
- .OTG
- .OTP
- .OTS
- .OTT
- .P12
- .PAGES
- .PAQ
- .PAS
- .PCT
- .PDB
- .PEM
- .PHP
- .PIF
- .PL
- .PLUGIN
- .PNG
- .POT
- .POTM
- .POTX
- .PPAM
- .PPS
- .PPSM
- .PPSX
- .PPT
- .PPTM
- .PPTX
- .PRF
- .PRIV
- .PRIVAT
- .PS
- .PSD
- .PSPIMAGE
- .PY
- .QCOW2
- .RA
- .RAR
- .RAW
- .RM
- .RSS
- .RTF
- .SCH
- .SDF
- .SH
- .SITX
- .SLDX
- .SLK
- .SLN
- .SQL
- .SQLITE
- .SQLITE
- .SRT
- .STC
- .STD
- .STI
- .STW
- .SVG
- .SWF
- .SXC
- .SXD
- .SXI
- .SXM
- .SXW
- .TAR
- .TBK
- .TEX
- .TGA
- .TGZ
- .THM
- .TIF
- .TIFF
- .TLB
- .TMP
- .TXT
- .UOP
- .UOT
- .VB
- .VBS
- .VCF
- .VCXPRO
- .VDI
- .VMDK
- .VMX
- .VOB
- .WAV
- .WKS
- .WMA
- .WMV
- .WPD
- .WPS
- .WSF
- .XCODEPROJ
- .XHTML
- .XLC
- .XLM
- .XLR
- .XLS
- .XLSB
- .XLSM
- .XLSX
- .XLT
- .XLTM
- .XLTX
- .XLW
- .XML
- .YUV
- .ZIP
- .ZIPX
対応方法
手順 1
Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 2
このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。
手順 3
このマルウェアのパス名およびファイル名を確認します。
最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用いてウイルス検索を実行してください。「RANSOM_WALTRIX.HA」で検出したパス名およびファイル名を確認し、メモ等をとってください。
手順 4
Windowsをセーフモードで再起動します。
手順 5
以下のファイルを検索し削除します。
- !Recovery_{unique ID}.bmp
- !Recovery_{unique ID}.html
- !Recovery_{unique ID}.txt
- {unique ID}.key
- {unique ID}.bmp
- {unique ID}.html
- %User Startup%\{unique ID}.lnk
手順 6
デスクトッププロパティを修正します。
手順 7
コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「RANSOM_WALTRIX.HA」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
手順 9
最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「RANSOM_WALTRIX.HA」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
ご利用はいかがでしたか？ アンケートにご協力ください