解析者: Rojan Dela Cruz   
 別名:

Ransom:Win32/Play.E (MICROSOFT), a variant of Win32/Filecoder.PLAY.A trojan (NOD32)

 プラットフォーム:

Windows

 危険度:
 ダメージ度:
 感染力:
 感染確認数:
 情報漏えい:

  • マルウェアタイプ:
    身代金要求型不正プログラム（ランサムウェア）

  • 破壊活動の有無:
    なし

  • 暗号化:
    なし

  • 感染報告の有無 :
    はい

  概要

感染経路 インターネットからのダウンロード, 他のマルウェアからの作成

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

  詳細

ファイルサイズ 113,152 bytes
タイプ EXE
メモリ常駐 なし
ペイロード ファイルの暗号化

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

その他

マルウェアは、以下の拡張子をもつファイルを暗号化します。

  • .$er
  • .4dd
  • .4dl
  • .abcddb
  • .abs
  • .abx
  • .ac
  • .accdb
  • .accdc
  • .accde
  • .accdr
  • .accdt
  • .accdw
  • .accft
  • .adb
  • .ade
  • .adf
  • .adn
  • .adp
  • .alf
  • .anb
  • .aq
  • .arc
  • .ask
  • .bak
  • .bcp
  • .bdf
  • .btr
  • .cat
  • .cdb
  • .ckp
  • .cma
  • .cpd
  • .crypt
  • .crypt1
  • .crypt10
  • .crypt12
  • .crypt14
  • .crypt15
  • .crypt5
  • .crypt6
  • .crypt7
  • .crypt8
  • .crypt9
  • .dacpac
  • .dad
  • .daschema
  • .dat
  • .db
  • .db-shm
  • .db-wal
  • .db2
  • .db3
  • .dbc
  • .dbcrypt
  • .dbcrypt8
  • .dbf
  • .dbs
  • .dbt
  • .dbv
  • .dbx
  • .dcb
  • .dct
  • .dcx
  • .ddl
  • .dlis
  • .dp1
  • .dqy
  • .dsk
  • .dsn
  • .dtsx
  • .dxl
  • .eco
  • .ecx
  • .edb
  • .epim
  • .exb
  • .fcd
  • .fdb
  • .fic
  • .fm5
  • .fmp
  • .fmp12
  • .fmpsl
  • .fol
  • .fp3
  • .fp4
  • .fp5
  • .fp7
  • .fpt
  • .frm
  • .gdb
  • .grdb
  • .gwi
  • .hdb
  • .his
  • .hjt
  • .ib
  • .ibd
  • .icg
  • .icr
  • .idb
  • .ihx
  • .itdb
  • .itw
  • .jet
  • .jtx
  • .kdb
  • .kexi
  • .kexic
  • .kexis
  • .ldf
  • .lgc
  • .log1
  • .luminar
  • .lut
  • .lwx
  • .maf
  • .maq
  • .mar
  • .mas
  • .mav
  • .maw
  • .mdb
  • .mdf
  • .mdn
  • .mdt
  • .mpd
  • .mrg
  • .mud
  • .mwb
  • .myd
  • .myi
  • .ndf
  • .ns2
  • .ns3
  • .ns4
  • .nsf
  • .nv
  • .nv2
  • .nwdb
  • .nyf
  • .odb
  • .oqy
  • .ora
  • .orx
  • .owc
  • .p96
  • .p97
  • .pan
  • .pdb
  • .pdm
  • .pnz
  • .qry
  • .qvd
  • .rbf
  • .rctd
  • .rod
  • .rodx
  • .rpd
  • .rsd
  • .sav
  • .sbf
  • .scx
  • .sdb
  • .sdc
  • .sdf
  • .sdy
  • .sis
  • .spq
  • .sql
  • .sqlite
  • .sqlite3
  • .sqlitedb
  • .te
  • .temx
  • .tmd
  • .tps
  • .trc
  • .trm
  • .udb
  • .udl
  • .usr
  • .v12
  • .vis
  • .vpd
  • .vvv
  • .wdb
  • .wmdb
  • .wrk
  • .xdb
  • .xld
  • .xmlff

マルウェアは、以下を実行します。

  • It avoids encrypting files found in the following drive types:
    • RAM Disk
    • CD-ROM Drive
  • It accepts the following parameters:
    • -mc - Execute normal payload, Same as no command-line parameter.
    • -d {Drive} - Encrypt a specific drive.
    • -p {full path of folder/file} - Encrypt a specific folder/file.
    • -ip {Network shared file} - Encrypt network shared resource.

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

  • ReadMe.txt
  • bootmgr

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

  • .PLAY

マルウェアが作成する以下のファイルは、脅迫状です。

  • {All Available Drives}:\ReadMe.txt

以下のファイル拡張子を持つファイルについては暗号化しません：

  • .exe
  • .msi
  • .dll
  • .lnk
  • .sys

  対応方法

対応検索エンジン: 9.800
初回 VSAPI パターンバージョン 18.448.03
初回 VSAPI パターンリリース日 2023年5月16日
VSAPI OPR パターンバージョン 18.449.00
VSAPI OPR パターンリリース日 2023年5月17日

手順 1

トレンドマイクロの機械学習型検索は、マルウェアの存在を示す兆候が確認された時点で検出し、マルウェアが実行される前にブロックします。機械学習型検索が有効になっている場合、弊社のウイルス対策製品はこのマルウェアを以下の機械学習型検出名として検出します。

     
    • TROJ.Win32.TRX.XXPE50FFF068

手順 2

Windows 7、Windows 8、Windows 8.1、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 3

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 4

以下のファイルを検索し削除します。

[ 詳細 ]
コンポーネントファイルが隠しファイル属性の場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • {All Available Drives}:\ReadMe.txt

手順 5

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「Ransom.Win32.PLAYDE.H」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。


ご利用はいかがでしたか？　アンケートにご協力ください