解析者: Francesca Villasanta   
 別名:

UDS:Trojan.MSIL.DelShad.gen (KASPERSKY) ; Ransom:Win32/Hardbit!MTB (MICROSOFT)

 プラットフォーム:

Windows

 危険度:
 ダメージ度:
 感染力:
 感染確認数:
 情報漏えい:

  • マルウェアタイプ:
    身代金要求型不正プログラム（ランサムウェア）

  • 破壊活動の有無:
    なし

  • 暗号化:
     

  • 感染報告の有無 :
    はい

  概要

感染経路 インターネットからのダウンロード, 他のマルウェアからの作成

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

  詳細

ファイルサイズ 340,993 bytes
タイプ EXE
メモリ常駐 なし
発見日 2022年12月23日
ペイロード システム情報の収集, ファイルの暗号化, 画像の表示, メッセージボックスの表示, システムのレジストリの変更, プロセスの強制終了

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

  • %User Profile%\DOCUMENTS\hrdb.ico → icon used for all encrypted files
  • %Desktop%\HARDBIT.jpg → image used as system wallpaper after encryption
  • %User Temp%\lsm.exe → detected as TROJ_GEN.R002H09HJ23
  • %User Temp%\is64.txt → identifies the OS architecture
  • %User Temp%\is64.bat
  • %User Temp%\is64.fil → contains the path to the 64-bit cmd.exe

(註：%User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。. %Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\Desktop" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のプロセスを追加します。

  • cmd.exe /C sc delete VSS
  • cmd.exe /C wbadmin delete catalog -quiet
  • cmd.exe /C vssadmin delete shadows /all /quiet & wmic shadowcopy deletee
  • cmd.exe /C bcdedit /set {default} bootstatuspolicy ignoreallfailures & bcdedit /set {default} recoveryenabled no
  • "powershell" Get-MpPreference -verbose
  • net.exe stop avpsus /y
  • net.exe stop McAfeeDLPAgentService /y
  • net.exe stop mfewc /y
  • net.exe stop BMR Boot Service /y
  • net.exe stop NetBackup BMR MTFTP Service /y
  • net.exe stop DefWatch /y
  • net.exe stop ccEvtMgr /y
  • net.exe stop ccSetMgr /y
  • net.exe stop SavRoam /y
  • net.exe stop RTVscan /y
  • net.exe stop QBFCService /y
  • net.exe stop QBIDPService /y
  • net.exe stop IntuitQuickBooksFCS /y
  • net.exe stop QBCFMonitorService /y
  • net.exe stop YooBackup /y
  • net.exe stop YooIT /y
  • net.exe stop zhudongfangyu /y
  • net.exe stop stc_raw_agent /y
  • net.exe stop VSNAPVSS /y
  • net.exe stop VeeamTransportSvc /y
  • net.exe stop VeeamDeploymentService /y
  • net.exe stop VeeamNFSSvc /y
  • net.exe stop veeam /y
  • net.exe stop PDVFSService /y
  • net.exe stop BackupExecVSSProvider /y
  • net.exe stop BackupExecAgentAccelerator /y
  • net.exe stop BackupExecAgentBrowser /y
  • net.exe stop BackupExecDiveciMediaService /y
  • net.exe stop BackupExecJobEngine /y
  • net.exe stop BackupExecManagementService /y
  • net.exe stop BackupExecRPCService /y
  • net.exe stop AcrSch2Svc /y
  • net.exe stop AcronisAgent /y
  • net.exe stop CASAD2DWebSvc /y
  • net.exe stop CAARCUpdateSvc /y
  • net.exe stop sophos /y
  • net.exe stop -n apache24
  • net.exe stop mysql57
  • net.exe wrapper
  • net.exe DefWatch
  • net.exe stop SavRoam /y
  • net.exe stop Sqlservr /y
  • net.exe stop sqlagent /y
  • net.exe stop sqladhlp /y
  • net.exe stop Culserver /y
  • net.exe stop sqlbrowser /y
  • net.exe stop QLADHLP /y
  • net.exe stop Intuit /y
  • net.exe stop QuickBooks /y
  • net.exe stop FCS /y
  • net.exe stop msmdsrv /y
  • net.exe stop tomcat6 /y
  • net.exe stop vmware /y
  • net.exe stop vmware-converter /y
  • net.exe stop dbsrv12 /y
  • net.exe stop dbeng8 /y
  • net.exe stop MSSQL$MICROSOFT /y
  • net.exe stop ##WID /y
  • net.exe stop MSSQL$VEEAMSQL2012 /y
  • net.exe stop SQLAgent$VEEAMSQL2012 /y
  • net.exe stop SQLBrowser /y
  • net.exe stop SQLWriter /y
  • net.exe stop FishbowlMySQL /y
  • net.exe stop MySQL57 /y
  • net.exe stop MSSQL$KAV_CS_ADMIN_KIT /y
  • net.exe stop MSSQLServerADHelper100 /y!
  • net.exe stop SQLAgent$KAV_CS_ADMIN_KIT /y
  • net.exe stop msftesql /y
  • net.exe stop Exchange /y
  • net.exe stop MSSQL$MICROSOFT##SSEE /y
  • net.exe stop MSSQL$SBSMONITORING /y
  • net.exe stop MSSQL$SHAREPOINT /y
  • net.exe stop MSSQLFDLauncher$SBSMONITORING /y
  • net.exe stop SQLAgent$SBSMONITORING /y
  • net.exe stop SQLAgent$SHAREPOINT /y
  • net.exe stop QBVSS /y
  • net.exe stop vss /y
  • net.exe stop sql /y
  • net.exe stop svc$ /y
  • net.exe stop MSSQL /y
  • net.exe stop MSSQL$ /y
  • net.exe stop memtas /y
  • net.exe stop mepocs /y
  • net.exe stop backup /y
  • net.exe stop bedbg /y
  • net.exe stop MVArmor /y
  • net.exe stop MVarmor64 /y
  • net.exe stop ARSM /y
  • net.exe stop WSBExchange /y
  • net.exe stop MSExchange /y
  • net.exe stop MSExchange$ /y
  • %User Temp%\lsm.exe
  • %User Temp%\is64.bat
  • "%System%\mshta.exe" "%User Temp%\readme-warning.hta"

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、以下のフォルダを作成します。

  • %User Temp%\myfiles
  • %User Temp%\wxy

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_USERS\{SID}_CLASSES\.hardbit2\
DefaultIcon
(Default) = %User Profile%\Documents\hrdb.ico

マルウェアは、インストールの過程で、以下のレジストリキーを追加します。

HKEY_USERS\{SID}_CLASSES\.hardbit2

HKEY_USERS\{SID}_CLASSES\.hardbit2\
DefaultIcon

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows Defender
DisableAntiSpyware = 1

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows Defender\Real-Time Protection
DisableBehaviorMonitoring = 1

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows Defender\Real-Time Protection
DisableOnAccessProtection = 1

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows Defender\Real-Time Protection
DisableScanOnRealtimeEnable = 1

(註：変更前の上記レジストリ値は、「0」となります。)

マルウェアは、以下のレジストリ値を変更し、デスクトップの壁紙を変更します。

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %Desktop%\HARDBIT.jpg

マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。

  • %Desktop%\HARDBIT.jpg

プロセスの終了

マルウェアは、感染コンピュータ上で確認した以下のサービスを終了します。

  • avpsus
  • McAfeeDLPAgentService
  • mfewc
  • BMR Boot Service
  • NetBackup BMR MTFTP Service
  • DefWatch
  • ccEvtMgr
  • ccSetMgr
  • SavRoam
  • RTVscan
  • QBFCService
  • QBIDPService
  • IntuitQuickBooksFCS
  • QBCFMonitorService
  • YooBackup
  • YooIT
  • zhudongfangyu
  • stc_raw_agent
  • VSNAPVSS
  • VeeamTransportSvc
  • VeeamDeploymentService
  • VeeamNFSSvc
  • veeam
  • PDVFSService
  • BackupExecVSSProvider
  • BackupExecAgentAccelerator
  • BackupExecAgentBrowser
  • BackupExecDiveciMediaService
  • BackupExecJobEngine
  • BackupExecManagementService
  • BackupExecRPCService
  • AcrSch2Svc
  • AcronisAgent
  • CASAD2DWebSvc
  • CAARCUpdateSvc
  • sophos
  • apache24
  • mysql57
  • SavRoam
  • Sqlservr
  • sqlagent
  • sqladhlp
  • Culserver
  • sqlbrowser
  • QLADHLP
  • Intuit
  • QuickBooks
  • FCS
  • msmdsrv
  • tomcat6
  • vmware
  • vmware-converter
  • dbsrv12
  • dbeng8
  • MSSQL$MICROSOFT
  • ##WID
  • MSSQL$VEEAMSQL2012
  • SQLAgent$VEEAMSQL2012
  • SQLBrowser
  • SQLWriter
  • FishbowlMySQL
  • MySQL57
  • MSSQL$KAV_CS_ADMIN_KIT
  • MSSQLServerADHelper100!
  • SQLAgent$KAV_CS_ADMIN_KIT
  • msftesql
  • Exchange
  • MSSQL$MICROSOFT##SSEE
  • MSSQL$SBSMONITORING
  • MSSQL$SHAREPOINT
  • MSSQLFDLauncher$SBSMONITORING
  • SQLAgent$SBSMONITORING
  • SQLAgent$SHAREPOINT
  • QBVSS
  • vss
  • sql
  • svc$
  • MSSQL
  • MSSQL$
  • memtas
  • mepocs
  • backup
  • bedbg
  • MVArmor
  • MVarmor64
  • ARSM
  • WSBExchange
  • MSExchange
  • MSExchange$

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

  • 360Doctor
  • 360Se
  • acwebbrowser
  • ADExplorer
  • ADExplorer64
  • ADExplorer64a
  • Adobe
  • AdobeCollabSync
  • AdobeIPCBroker
  • agntsvc
  • AutodeskDesktopApp
  • Autoruns
  • Autoruns64
  • Autoruns64a
  • Autorunsc
  • Autorunsc64
  • Autorunsc64a
  • avz
  • axlbridge
  • bedbh
  • benetns
  • bengien
  • beserver
  • BrCcUxSys
  • BrCtrlCntr
  • CagService
  • calc
  • CEF
  • Cloud
  • CoreSync
  • Creative
  • Culture
  • dbeng50
  • dbsnmp
  • Defwatch
  • DellSystemDetect
  • dumpcap
  • encsvc
  • EnterpriseClient
  • excel
  • fbguard
  • fbserver
  • fdhost
  • fdlauncher
  • firefox
  • GDscan
  • GlassWire
  • GWCtlSrv
  • Helper
  • httpd
  • infopath
  • InputPersonalization
  • isqlplussvc
  • j0gnjko1
  • java
  • koaly-exp-engine-service
  • msaccess
  • mspub
  • mydesktopqos
  • mydesktopservice
  • mysqld
  • node
  • notepad
  • notepad++
  • ocautoupds
  • ocomm
  • ocssd
  • onedrive
  • onenote
  • ONENOTEM
  • oracle
  • outlook
  • powerpnt
  • ProcessHacker
  • Procexp
  • Procexp64
  • procexp64a
  • procmon
  • procmon64
  • procmon64a
  • pvlsvr
  • QBDBMgr
  • QBDBMgrN
  • QBIDPService
  • qbupdate
  • QBW32
  • Raccine
  • Raccine_x86
  • RaccineElevatedCfg
  • RaccineSettings
  • RAgui
  • raw_agent_svc
  • RdrCEF
  • RTVscan
  • sam
  • Service
  • SimplyConnectionManager
  • SimplySystemTrayIcon
  • sqbcoreservice
  • sqlbrowser
  • sqlmangr
  • Sqlservr
  • Ssms
  • steam
  • supervise
  • sync
  • synctime
  • Sysmon
  • Sysmon64
  • SystemExplorer
  • SystemExplorerService
  • SystemExplorerService64
  • taskbar
  • tbirdconfig
  • tcpview
  • tcpview64
  • tcpview64a
  • tdsskiller
  • TeamViewer
  • TeamViewer_Service
  • thebat
  • thunderbird
  • TitanV
  • tomcat6
  • Totalcmd
  • Totalcmd64
  • tv_w32
  • tv_x64
  • VeeamDeploymentSvc
  • visio
  • vsnapvss
  • vss
  • vxmon
  • wdswfsafe
  • winword
  • WireShark
  • wordpad
  • worker
  • wsa_service
  • wuauclt
  • wxServer
  • wxServerView
  • xfssvccon
  • ZhuDongFangYu

情報漏えい

マルウェアは、以下の情報を収集します。

  • Hardware information (CPU, Disk Drives, Graphics Card, Manufacturer, BIOS)
  • Network adapter settings (IP configuration, MAC address)
  • Username
  • Computer Name
  • Timezone Information

その他

マルウェアは、以下を実行します。

  • It changes the encrypted file icon to the following image:
  • %User Temp%\lsm.exe shows the following message box:

ランサムウェアの不正活動

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

  • autorun.inf
  • boot.ini
  • bootfont.bin
  • bootsect.bak
  • d3d9caps.dat
  • desktop.ini
  • GDIPFONTCACHEV1.DAT
  • HARDBIT.jpg
  • iconcache.db
  • log
  • ntldr
  • ntuser.dat
  • ntuser.ini
  • thumbs.db

マルウェアは、以下の名称を利用して暗号化されたファイルのファイル名を改称します。

  • {10 Random Characters}.[id-{Generated ID}].[godgood55@tutanota.com].hardbit2

マルウェアが作成する以下のファイルは、脅迫状です。

  • {Encrypted Directory}\How To Restore Your Files.txt
  • {Encrypted Directory}\Help_me_for_Decrypt.hta
    %User Temp%\readme-warning.hta

以下のファイル拡張子を持つファイルについては暗号化しません：

  • .dll
  • .exe
  • .EXE
  • .lnk
  • .DLL
  • .msi
  • .386
  • .adv
  • .ani
  • .bin
  • .cab
  • .cmd
  • .com
  • .cpl
  • .cur
  • .deskthemepack
  • .diagcab
  • .diagcfg
  • .diagpkg
  • .drv
  • .hlp
  • .hta
  • .icl
  • .icns
  • .ico
  • .ics
  • .idx
  • .key
  • .lock
  • .mod
  • .mpa
  • .msc
  • .msp
  • .msstyles
  • .msu
  • .nls
  • .nomedia
  • .ocx
  • .pdb
  • .prf
  • .ps1
  • .rom
  • .rtp
  • .scr
  • .search-ms
  • .shs
  • .spl
  • .sys
  • .theme
  • .themepack
  • .wpx

  対応方法

対応検索エンジン: 9.800
初回 VSAPI パターンバージョン 18.174.04
初回 VSAPI パターンリリース日 2023年1月4日
VSAPI OPR パターンバージョン 18.175.00
VSAPI OPR パターンリリース日 2023年1月5日

手順 1

トレンドマイクロの機械学習型検索は、マルウェアの存在を示す兆候が確認された時点で検出し、マルウェアが実行される前にブロックします。機械学習型検索が有効になっている場合、弊社のウイルス対策製品はこのマルウェアを以下の機械学習型検出名として検出します。

    TROJ.Win32.TRX.XXPE50FFF065

手順 2

Windows 7、Windows 8、Windows 8.1、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 3

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 4

変更されたレジストリ値を修正します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
事前に意図的に対象の設定を変更していた場合は、意図するオリジナルの設定に戻してください。変更する値が分からない場合は、システム管理者にお尋ねいただき、レジストリの編集はお客様の責任として行なって頂くようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender
  • DisableAntiSpyware=1
  • DisableAntiSpyware=0
  • HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection
  • DisableBehaviorMonitoring=1
  • DisableBehaviorMonitoring= 0
  • HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection
  • DisableOnAccessProtection=1
  • DisableOnAccessProtection= 0
  • HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection
  • DisableScanOnRealtimeEnable=1
  • DisableScanOnRealtimeEnable= 0

手順 5

以下のレジストリキーを削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。レジストリの編集前にこちらをご参照ください。

  • In HKEY_USERS\{SID}_CLASSES\.hardbit2

手順 6

以下のファイルを検索し削除します。

[ 詳細 ]
コンポーネントファイルが隠しファイル属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • {Encrypted Directory}\How To Restore Your Files.txt
  • {Encrypted Directory}\Help_me_for_Decrypt.hta
  • %User Temp%\readme-warning.hta
  • %User Profile%\DOCUMENTS\hrdb.ico
  • %User Temp%\lsm.exe
  • %User Temp%\is64.txt
  • %User Temp%\is64.bat
  • %User Temp%\is64.fil
  • %Desktop%\HARDBIT.jpg

手順 7

以下のフォルダを検索し削除します。

[ 詳細 ]
フォルダが隠しフォルダ属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。  
  • %User Temp%\myfiles
  • %User Temp%\wxy

手順 8

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「Ransom.MSIL.HARDBIT.THAODBC」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

手順 9

デスクトッププロパティを修正します。

[ 詳細 ]

手順 10

暗号化されたファイルをバックアップから復元します。


ご利用はいかがでしたか？　アンケートにご協力ください