Ransom.Win32.CLOP.E
N/A
Windows
マルウェアタイプ:
身代金要求型不正プログラム(ランサムウェア)
破壊活動の有無:
なし
暗号化:
はい
感染報告の有無 :
はい
概要
マルウェアは、脅迫状のファイルを作成します。
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
詳細
侵入方法
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
インストール
マルウェアは、以下のファイルを作成します。
- {Malware Path}\systempdisk_11_23_556_6.bat
マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。
- HappyLife^_-
自動実行方法
マルウェアは、以下のサービスを開始します。
- Service Name: TaskNetProcess
Service Type: 16
プロセスの終了
マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。
- mysqld-opt.exe
- xfssvccon.exe
- thebat.exe
- ocautoupds.exe
- wordpad.exe
- mysqld-nt.exe
- thebat64.exe
- excel.exe
- thunderbird.exe
- agntsvc.exeagntsvc.exe
- zoolz.exe
- msaccess.exe
- sqlwriter.exe
- WINWORD.EXE
- THEBAT.EXE
- VISIO.EXE
- MSFTESQL.EXE
- ORACLE.EXE
- MYDESKTOPQOS.EXE
ランサムウェアの不正活動
マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。
- {file name}.{file extension}.Clop
マルウェアが作成する以下のファイルは、脅迫状です。
その他
マルウェアは、以下のいずれかを確認した場合、自身を削除します。
- キーボードレイアウトが以下のいずれかの場合
- グルジア語
- ロシア語
- タジク語
- ベラルーシ語
- アルメニア語
- アゼリー語
- カザフ語
- キルギス語
- デフォルトの言語IDが以下の場合
- Russian
マルウェアは、以下のプロセスが確認できない場合、"{Malware Path}\systempdisk_11_23_556_6.bat"を作成して実行します。
- SBAMSvc.exe
- VipreAAPSvc.exe
- SBAMTray.exe
- SBPIMSvc.exe
- WRSA.exe
マルウェアは、以下のコマンドを実行してブート設定データファイルを編集します。
- bcdedit /set {default} recoveryenabled No
- bcdedit /set {default} bootstatuspolicy ignoreallfailures
マルウェアは、以下のコマンドを実行してシャドウコピーの削除およびサイズ変更を行います。
- vssadmin resize shadowstorage /for=h: /on=h: /maxsize=401MB
- vssadmin resize shadowstorage /for=h: /on=h: /maxsize=unbounded
- vssadmin Delete Shadows /all /quiet
マルウェアは、以下を除くすべてのファイルを暗号化します。
- .Clop
- Clopreadme.txt
- ntldr
- NTLDR
- boot.ini
- BOOT.INI
- ntuser.ini
- NTUSER.INI
- AUTOEXEC.BAT
- autoexec.bat
- NTDETECT.COM
- ntdetect.com
- .dll
- .DLL
- .exe
- .EXE
- .sys
- .SYS
- .OCX
- .ocx
- .LNK
- .lnk
- desktop.ini
- autorun.inf
- ntuser.dat
- iconcache.db
- bootsect.bak
- ntuser.dat.log
- thumbs.db
- DESKTOP.INI
- AUTORUN.INF
- NTUSER.DAT
- ICONCACHE.DB
- bootsect.bak
- NTUSER.DAT.LOG
- THUMBS.DB
マルウェアは、以下のドライブ内のファイルを暗号化します。
- リムーバブルドライブ
- 固定ドライブ
- 共有ドライブ
バッチファイル "{Malware Path}\systempdisk_11_23_556_6.bat" には、以下の文字列が含まれています。
- @echo off
vssadmin Delete Shadows /all /quiet
vssadmin resize shadowstorage /for=c: /on=c: /maxsize=401MB
vssadmin resize shadowstorage /for=c: /on=c: /maxsize=unbounded
vssadmin resize shadowstorage /for=d: /on=d: /maxsize=401MB
vssadmin resize shadowstorage /for=d: /on=d: /maxsize=unbounded
vssadmin resize shadowstorage /for=e: /on=e: /maxsize=401MB
vssadmin resize shadowstorage /for=e: /on=e: /maxsize=unbounded
vssadmin resize shadowstorage /for=f: /on=f: /maxsize=401MB
vssadmin resize shadowstorage /for=f: /on=f: /maxsize=unbounded
vssadmin resize shadowstorage /for=g: /on=g: /maxsize=401MB
vssadmin resize shadowstorage /for=g: /on=g: /maxsize=unbounded
vssadmin resize shadowstorage /for=h: /on=h: /maxsize=401MB
vssadmin resize shadowstorage /for=h: /on=h: /maxsize=unbounded
vssadmin Delete Shadows /all /quiet
bcdedit /set {default} recoveryenabled No
bcdedit /set {default} bootstatuspolicy ignoreallfailures
対応方法
手順 1
Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 2
このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム(OS)の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル/フォルダ/レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。
手順 3
Windowsをセーフモードで再起動します。
手順 4
このマルウェアのサービスを無効にします。
- Service Name: TaskNetProcess
手順 5
以下のファイルを検索し削除します。
- {Malware Path}\systempdisk_11_23_556_6.bat
手順 6
コンピュータを通常モードで再起動し、最新のバージョン(エンジン、パターンファイル)を導入したウイルス対策製品を用い、「Ransom.Win32.CLOP.E」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
ご利用はいかがでしたか? アンケートにご協力ください