Ransom.Linux.GONNACRY.A
2020年6月16日
別名:
N/A
プラットフォーム:
Linux
危険度:
ダメージ度:
感染力:
感染確認数:
情報漏えい:
マルウェアタイプ:
身代金要求型不正プログラム(ランサムウェア)
破壊活動の有無:
なし
暗号化:
なし
感染報告の有無 :
はい
概要
感染経路 インターネットからのダウンロード
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
マルウェアが自身の不正活動を実行するためには、特定の引数/パラメータ/コンポーネントが必要になります。もしくは、特定の環境で実行される必要があります。
特定のファイル拡張子を持つファイルを暗号化します。
詳細
ファイルサイズ 2,839 bytes
タイプ PY
メモリ常駐 はい
発見日 2020年5月28日
ペイロード ファイルの暗号化
侵入方法
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
他のシステム変更
マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。
その他
マルウェアは、以下を実行します。
- It is able to run itself in the startup using the following methods:
- Creating a daemon of itself at ~/.config/autostart
- Creating an autostart service of its daemon using systemctl
- Creating an autostart file for its daemon at /etc/profile, ~/.bash_profile, ~/.bash_login, ~/.profile, ~/.bashrc
- Creating a crontab for its daemon
- It runs its decryptor as a subprocess using the following commands:
- gnome-terminal --command .{Decryptor path}
- xfce4-terminal --command=.{Decryptor path}
マルウェアが自身の不正活動を実行するためには、特定の引数/パラメータ/コンポーネントが必要になります。もしくは、特定の環境で実行される必要があります。
ランサムウェアの不正活動
以下の拡張子を持つファイルを暗号化します:$$ DATA $$
- .doc
- .docx
- .xls
- .xlsx
- .ppt
- .pptx
- .pst
- .ost
- .msg
- .eml
- .vsd
- .vsdx
- .txt
- .csv
- .rtf
- .wks
- .wk1
- .dwg
- .onetoc2
- .snt
- .jpeg
- .jpg
- .docb
- .docm
- .dot
- .dotm
- .dotx
- .xlsm
- .xlsb
- .xlw
- .xlt
- .xlm
- .xlc
- .xltx
- .xltm
- .pptm
- .pot
- .pps
- .ppsm
- .ppsx
- .ppam
- .potx
- .potm
- .edb
- .hwp
- .602
- .sxi
- .sti
- .sldx
- .sldm
- .vdi
- .vmdk
- .vmx
- .gpg
- .aes
- .arc
- .paq
- .bz2
- .tbk
- .bak
- .tar
- .tgz
- .gz
- .7z
- .rar
- .zip
- .backup
- .iso
- .vcd
- .bmp
- .png
- .gif
- .raw
- .cgm
- .tif
- .tiff
- .nef
- .psd
- .ai
- .svg
- .djvu
- .m4u
- .m3u
- .mid
- .wma
- .flv
- .3g2
- .mkv
- .3gp
- .mp4
- .mov
- .avi
- .asf
- .mpeg
- .vob
- .mpg
- .wmv
- .fla
- .swf
- .wav
- .mp3
- .sh
- .class
- .jar
- .java
- .rb
- .asp
- .php
- .jsp
- .brd
- .sch
- .dch
- .dip
- .pl
- .vb
- .vbs
- .ps1
- .bat
- .cmd
- .js
- .asm
- .h
- .pas
- .cpp
- .c
- .cs
- .suo
- .sln
- .ldf
- .mdf
- .ibd
- .myi
- .myd
- .frm
- .odb
- .dbf
- .db
- .mdb
- .accdb
- .sql
- .sqlitedb
- .sqlite3
- .asc
- .lay6
- .lay
- .mml
- .sxm
- .otg
- .odg
- .uop
- .std
- .sxd
- .otp
- .odp
- .wb2
- .slk
- .dif
- .stc
- .sxc
- .ots
- .ods
- .3dm
- .max
- .3ds
- .uot
- .stw
- .sxw
- .ott
- .odt
- .pem
- .p12
- .csr
- .crt
- .key
- .pfx
- .der
マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。
- .GNNCRY
対応方法
対応検索エンジン: 9.850
初回 VSAPI パターンバージョン 15.896.05
初回 VSAPI パターンリリース日 2020年5月28日
VSAPI OPR パターンバージョン 15.897.00
VSAPI OPR パターンリリース日 2020年5月29日
最新のバージョン(エンジン、パターンファイル)を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「Ransom.Linux.GONNACRY.A」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
ご利用はいかがでしたか? アンケートにご協力ください