解析者: Clive Fuentebella   
 別名:

Gen:Variant.Ranpack.31 (BITDEFENDER)

 プラットフォーム:

Windows

 危険度:
 ダメージ度:
 感染力:
 感染確認数:
 情報漏えい:

  • マルウェアタイプ:
    身代金要求型不正プログラム（ランサムウェア）

  • 破壊活動の有無:
    なし

  • 暗号化:
    はい

  • 感染報告の有無 :
    はい

  概要

感染経路 インターネットからのダウンロード

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。

  詳細

ファイルサイズ 559,104 bytes
タイプ EXE
メモリ常駐 はい
発見日 2020年5月7日
ペイロード URLまたはIPアドレスに接続, メッセージボックスの表示, ファイルの暗号化, プロセスの強制終了

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

  • "%System%\cmd.exe" /c vssadmin delete shadows /all /quiet & wmic shadowcopy delete & bcdedit /set {default} bootstatuspolicy ignoreallfailures & bcdedit /set {default} recoveryenabled no & wbadmin delete catalog -quiet
  • "%System%\cmd.exe" /c vssadmin Delete Shadows /All /Quiet
  • "%System%\cmd.exe" /c bcdedit /set {default} recoveryenabled No
  • "%System%\cmd.exe" /c bcdedit /set {default} bootstatuspolicy ignoreallfailures
  • "%System%\cmd.exe" /c wbadmin DELETE SYSTEMSTATEBACKUP
  • "%System%\cmd.exe" /c wbadmin DELETE SYSTEMSTATEBACKUP -deleteOldest
  • "%System%\cmd.exe" /c wmic SHADOWCOPY /nointeractive
  • "%System%\cmd.exe" /c wevtutil cl security
  • "%System%\cmd.exe" /c wevtutil cl system
  • "%System%\cmd.exe" /c wevtutil cl application
  • "%System%\cmd.exe" /c vssadmin Delete Shadows /All /Quiet
  • "%System%\cmd.exe" /c bcdedit /set {default} recoveryenabled No
  • "%System%\cmd.exe" /c bcdedit /set {default} bootstatuspolicy ignoreallfailures
  • "%System%\cmd.exe" /c wbadmin DELETE SYSTEMSTATEBACKUP
  • "%System%\cmd.exe" /c wbadmin DELETE SYSTEMSTATEBACKUP -deleteOldest
  • "%System%\cmd.exe" /c wmic SHADOWCOPY /nointeractive

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

他のシステム変更

マルウェアは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
XO1XADpO01 = "%Windows%\Microsoft.NET\Framework\v2.0.50727\vbc.exe"

HKEY_CURRENT_USER\Software\LockBit
full = {Binary data}

HKEY_CURRENT_USER\Software\LockBit
Public = {Binary data}

プロセスの終了

マルウェアは、感染コンピュータ上でプロセスが常駐されていることを確認した場合、以下のいずれかの文字列を含むプロセスまたはサービスを終了します。

  • 360doctor
  • 360se
  • ARSM
  • AcrSch2Svc
  • AcronisAgent
  • Adobe CEF Helper
  • Adobe Desktop Service
  • AdobeCollabSync
  • AdobeIPCBroker
  • AutodeskDesktopApp
  • BackupExecAgentAccelerator
  • BackupExecAgentBrowser
  • BackupExecDiveciMediaService
  • BackupExecJobEngine
  • BackupExecManagementService
  • BackupExecRPCService
  • BackupExecVSSProvider
  • BrCcUxSys
  • BrCtrlCntr
  • CAARCUpdateSvc
  • CASAD2DWebSvc
  • CagService
  • CoreSync
  • Creative Cloud
  • Culserver
  • Culture
  • DefWatch
  • Defwatch
  • DellSystemDetect
  • EnterpriseClient
  • FCS
  • FishbowlMySQL
  • GDscan
  • InputPersonalization
  • Intuit
  • MSExchange
  • MSExchange$
  • MSSQL
  • MSSQL$
  • MSSQL$KAV_CS_ADMIN_KIT
  • MSSQL$MICROSOFT##SSEE
  • MSSQL$MICROSOFT##WID
  • MSSQL$SBSMONITORING
  • MSSQL$SHAREPOINT
  • MSSQL$VEEAMSQL2012
  • MSSQLFDLauncher$SBSMONITORING
  • MSSQLFDLauncher$SHAREPOINT
  • MSSQLServerADHelper100
  • MVArmor
  • MVarmor64
  • MsDtSrvr
  • MySQL57
  • ONENOTEM
  • PDVFSService
  • QBCFMonitorService
  • QBDBMgr
  • QBDBMgrN
  • QBFCService
  • QBIDPService
  • QBVSS
  • QBW32
  • QuickBooks
  • RAgui
  • RTVscan
  • RdrCEF
  • SQLADHLP
  • SQLAgent$KAV_CS_ADMIN_KIT
  • SQLAgent$SBSMONITORING
  • SQLAgent$SHAREPOINT
  • SQLAgent$VEEAMSQL2012
  • SQLBrowser
  • SQLWriter
  • SavRoam
  • Simply
  • SimplyConnectionManager
  • Sqlservr
  • Ssms
  • SystemTrayIcon
  • TeamViewer
  • TeamViewer_Service
  • TitanV
  • VSNAPVSS
  • VeeamDeploymentService
  • VeeamDeploymentSvc
  • VeeamNFSSvc
  • VeeamTransportSvc
  • WSBExchange
  • YooBackup
  • YooIT
  • ZhuDongFangYu
  • acwebbrowser
  • agntsvc
  • axlbridge
  • backup
  • bedbg
  • bedbh
  • benetns
  • bengien
  • beserver
  • ccEvtMgr
  • ccSetMgr
  • dbeng50
  • dbeng8
  • dbsnmp
  • dbsrv12
  • encsvc
  • excel
  • fbguard
  • fbserver
  • fdhost
  • fdlauncher
  • firefox
  • httpd
  • infopath
  • isqlplussvc
  • java
  • koaly-exp-engine-service
  • memtas
  • mepocs
  • msaccess
  • msftesql-Exchange
  • msmdsrv
  • mspub
  • mydesktopqos
  • mydesktopservice
  • mysqld
  • node
  • notepad
  • ocautoupds
  • ocomm
  • ocssd
  • onenote
  • oracle
  • outlook
  • powerpnt
  • pvlsvr
  • qbupdate
  • raw_agent_svc
  • sam
  • sophos
  • sqbcoreservice
  • sql
  • sqladhlp
  • sqlagent
  • sqlbrowser
  • sqlmangr
  • sqlwriter
  • stc_raw_agent
  • steam
  • supervise
  • svc$
  • sync-taskbar
  • sync-worker
  • synctime
  • tbirdconfig
  • thebat
  • thunderbird
  • tomcat6
  • tv_w32
  • tv_x64
  • veeam
  • visio
  • vmware-converter
  • vmware-usbarbitator64
  • vsnapvss
  • vss
  • vxmon
  • wdswfsafe
  • winword
  • wordpad
  • wrapper
  • wsa_service
  • wxServerView
  • xfssvccon
  • zhudongfangyu

その他

マルウェアは、以下の画像を表示します。

マルウェアは、以下を実行します。

  • It propagates across the network via SMB queries.

ランサムウェアの不正活動

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

  • .lockbit

マルウェアが作成する以下のファイルは、脅迫状です。

  • {Encrypted directory}/Restore-My-Files.txt

マルウェアは、以下の内容を含む脅迫状のテキストファイルを残します。

  対応方法

対応検索エンジン: 9.850
初回 VSAPI パターンバージョン 15.880.02
初回 VSAPI パターンリリース日 2020年5月20日
VSAPI OPR パターンバージョン 15.881.00
VSAPI OPR パターンリリース日 2020年5月21日

手順 1

トレンドマイクロの機械学習型検索は、マルウェアの存在を示す兆候が確認された時点で検出し、マルウェアが実行される前にブロックします。機械学習型検索が有効になっている場合、弊社のウイルス対策製品はこのマルウェアを以下の機械学習型検出名として検出します。

    • Troj.Win32.TRX.XXPE50FFF035

手順 2

Windows XP、Windows Vista 、Windows 7、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 3

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 4

Windowsをセーフモードで再起動します。

[ 詳細 ]

手順 5

このレジストリ値を削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
    • XO1XADpO01 = "%Windows%\Microsoft.NET\Framework\v2.0.50727\vbc.exe"
  • In HKEY_CURRENT_USER\Software\LockBit
    • full = {Binary data}
  • In HKEY_CURRENT_USER\Software\LockBit
    • Public = {Binary data}

手順 6

以下のファイルを検索し削除します。

[ 詳細 ]
コンポーネントファイルが隠しファイル属性の場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • {Encrypted directory}:/Restore-My-Files.txt

手順 7

コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「Ransom.MSIL.LOCKBIT.VLC」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

手順 8

暗号化されたファイルをバックアップから復元します。


ご利用はいかがでしたか？　アンケートにご協力ください