Ransom.Win32.NOESCAPE.A
Windows

マルウェアタイプ:
身代金要求型不正プログラム(ランサムウェア)
破壊活動の有無:
なし
暗号化:
なし
感染報告の有無 :
はい
概要
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
マルウェアは、特定のフォルダ内にあるファイルを削除します。これにより、該当プログラムおよびアプリケーションが正しく実行されなくなります。
マルウェアは、アカウントを追加し管理者権限を取得します。これにより、感染コンピュータは、マルウェアまたは不正リモートユーザによるさらなる脅威にさらされることとなります。
身代金要求文書のファイルを作成します。
詳細
侵入方法
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
インストール
マルウェアは、以下のファイルを作成します。
- Used to change default account picture:
- %ProgramData%\Microsoft\User Account Pictures\user.bmp
- %ProgramData%\Microsoft\User Account Pictures\user.png
- %ProgramData%\Microsoft\User Account Pictures\user-32.png
- %ProgramData%\Microsoft\User Account Pictures\user-40.png
- %ProgramData%\Microsoft\User Account Pictures\user-48.png
- %ProgramData%\Microsoft\User Account Pictures\user-192.png
- Used to change desktop wallpaper
- %AppDataLocal%\noescape.png
(註:%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 . %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\<ユーザ名>\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\<ユーザ名>\AppData\Local" です。)
マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。
- %Windows%\winnt32.exe
(註:%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)
マルウェアは、以下のプロセスを追加します。
- %System%\notepad.exe
- %System%\cmd.exe
- %System%\mspaint.exe
- %System%\taskmgr.exe
(註:%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)
マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。
- processLimit
- processLimitPayLoad
自動実行方法
マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Userinit = %System%\userinit.exe,%Windows%\winnt32.exe → to execute malware copy during Windows logon
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
exefile\shell\open\
command
(Default) = %Windows%\winnt32.exe "%1" %* → if malware copy is existing
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
exefile\shell\runas\
command
(Default) = %Windows%\winnt32.exe "%1" %* → if malware copy is existing
他のシステム変更
マルウェアは、以下のフォルダ内にあるファイルを削除します。
- %ProgramData%\Microsoft\User Account Pictures
- %Desktop%
- %Public%\Desktop
(註:%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 . %Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\<ユーザ名>\Desktop" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\<ユーザ名>\Desktop" です。. %Public%フォルダは、すべてのユーザ共通のファイルまたはフォルダのリポジトリとして機能するフォルダです。Windows Vista、7、8の場合、通常 "C:\Users\Public" です。)
マルウェアは、以下のレジストリ値を変更します。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
AutoAdminLogon = 1 → enable automatic logon
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
DisableCAD = 1 → disable Secure Attention Sequence
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
shutdownwithoutlogon = 0 → disable the shutdown button in the log on to Windows dialog box
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
UseDefaultTile = 1 → apply the default account picture to all users
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableLogonBackgroundImage = 1 → disable sign-in background image
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\Keyboard Layout
Scancode Map = → disable selected keyboard keys
HKEY_CURRENT_USER\Control Panel\Mouse
SwapMouseButtons = 1 → swap mouse buttons
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
EnableLUA = 0 → disables User Account Control (UAC)
HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableRegistryTools = 1 → disables Windows registry editors
HKEY_CURRENT_USER\SOFTWARE\Policies\
Microsoft\Windows\System
DisableCMD = 2 → disable command line
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
AutoRestartShell = 0 → disables rebooting of explorer.exe
HKEY_CURRENT_USER\Control Panel\Desktop
AutoColorization = 1 → automatically pick an accent color from desktop background
HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Shell\Bags\1\
Desktop
FFLags = → to randomly rearrange desktop icons
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
NoEscape
ShowWindow =
マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。
- %AppDataLocal%\noescape.png
その他
マルウェアは、管理者グループに以下のアカウントを追加します。
- NO ESCAPE
マルウェアは、以下を実行します。
- It only proceeds to its encryption routine if it is executed in a Windows NT 10.0 OS.
- It prompts the following message box if not executed in a Windows NT 10.0 OS.
- It prompts the following message box before encryption:
- It adds user accounts with random usernames.
- It adds user accounts to the following local groups:
- Administrators
- Users
- It changes the user name to the following:
- NO ESCAPE
- It changes the user password to the following:
- death
- If the malware copy is existing:
- It displays the following window:
- It terminates itself if window is closed.
- It stretches the bitmap of the desktop and running windows.
- It displays the following window:
- It prompts the following message box when executable files are opened:
- It terminates explorer.exe to hide taskbar.
- It randomly rearranges desktop icons.
- It blocks user input.
- It controls the system's keyboard activity to type the following on notepad.exe:
- It waits for the user to enter 'yes' on notepad and then proceeds on opening the following processes:
- %System%\cmd.exe
- %System%\mspaint.exe
- %System%\taskmgr.exe
- It enables automatic logon.
- It disables Ctrl+Alt+Delete keystroke combination.
- It disables the shutdown button in the log on to Windows dialog box.
- It changes the default account picture to the following images:
- It disables sign-in background image.
- It enables selected keyboard keys.
- It swaps mouse buttons.
- It disables User Account Control (UAC).
- It disables Windows registry editors.
- It disables command line.
- It disables rebooting of explorer.exe.
- It automatically picks an accent color from desktop background
- It executes malware copy during Windows logon.
- It deletes itself after execution.
- It restarts the machine after execution.
- It prompts the following message box when executable files are opened:
ランサムウェアの不正活動
マルウェアが作成する以下のファイルは、脅迫状です。
- %Public%\Desktop\{random} → multiple copies
対応方法
手順 1
Windows 7、Windows 8、Windows 8.1、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 2
このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム(OS)の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル/フォルダ/レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。
手順 3
Windowsをセーフモードで再起動します。
手順 4
このレジストリ値を削除します。
警告:レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。
- In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Keyboard Layout
- Scancode Map
- Scancode Map
- In HKEY_CURRENT_USER\SOFTWARE\Policies\Microsoft\Windows\System
- DisableCMD = 2
- DisableCMD = 2
- In HKEY_CURRENT_USER\SOFTWARE\Microsoft\Shell\Bags\1\Desktop
- FFLags
- FFLags
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\NoEscape
- ShowWindow
- ShowWindow
手順 5
変更されたレジストリ値を修正します。
警告:レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
事前に意図的に対象の設定を変更していた場合は、意図するオリジナルの設定に戻してください。変更する値が分からない場合は、システム管理者にお尋ねいただき、レジストリの編集はお客様の責任として行なって頂くようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
- AutoAdminLogon = 1
- AutoAdminLogon = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
- DisableCAD = 1
- DisableCAD = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System
- shutdownwithoutlogon = 0
- shutdownwithoutlogon = 0
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer
- UseDefaultTile = 1
- UseDefaultTile = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System
- DisableLogonBackgroundImage = 1
- DisableLogonBackgroundImage = 1
- In HKEY_CURRENT_USER\Control Panel\Mouse
- SwapMouseButtons = 1
- SwapMouseButtons = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System
- EnableLUA = 0
- EnableLUA = 0
- In HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System
- DisableRegistryTools = 1
- DisableRegistryTools = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
- AutoRestartShell = 0
- AutoRestartShell = 0
- In HKEY_CURRENT_USER\Control Panel\Desktop
- AutoColorization = 1
- AutoColorization = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
- Userinit = %System%\userinit.exe,%Windows%\winnt32.exe
- Userinit = %System%\userinit.exe,%Windows%\winnt32.exe
- In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefile\shell\open\command
- (Default) = %Windows%\winnt32.exe
- (Default) = %Windows%\winnt32.exe
- In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefile\shell\runas\command
- (Default) = %Windows%\winnt32.exe
- (Default) = %Windows%\winnt32.exe
手順 6
以下のファイルを検索し削除します。
- %ProgramData%\Microsoft\User Account Pictures\user.bmp
- %ProgramData%\Microsoft\User Account Pictures\user.png
- %ProgramData%\Microsoft\User Account Pictures\user-32.png
- %ProgramData%\Microsoft\User Account Pictures\user-40.png
- %ProgramData%\Microsoft\User Account Pictures\user-48.png
- %ProgramData%\Microsoft\User Account Pictures\user-192.png
- %AppDataLocal%\noescape.png
- %Windows%\winnt32.exe
- %Public%\Desktop\{random}
手順 7
コンピュータを通常モードで再起動し、最新のバージョン(エンジン、パターンファイル)を導入したウイルス対策製品を用い、「Ransom.Win32.NOESCAPE.A」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
手順 8
デスクトッププロパティを修正します。
手順 9
ファイルをバックアップを用いて修復します。マイクロソフト製品に関連したファイルのみに修復されます。このマルウェアが同社製品以外のプログラムをも削除した場合には、該当プログラムを再度インストールする必要があります。
ご利用はいかがでしたか? アンケートにご協力ください