Ransom.Win32.STOP.AU
Trojan-Ransom.Win32.Stop.dh(KASPERSKY); Trojan:Win32/Occamy.C(Microsoft)
Windows
![](/vinfo/imgFiles/JPlegend.jpg)
マルウェアタイプ:
身代金要求型不正プログラム(ランサムウェア)
破壊活動の有無:
なし
暗号化:
なし
感染報告の有無 :
はい
概要
マルウェアは、身代金要求文書(脅迫状)を作成します。
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
マルウェアは、ワーム活動の機能を備えていません。
マルウェアは、バックドア活動の機能を備えていません。
マルウェアは、上記で作成されたフォルダ内にダウンロードしたファイルを保存します。 ただし、情報公開日現在、このWebサイトにはアクセスできません。
詳細
侵入方法
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
インストール
マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。
- %AppDataLocal%\{GUID}\{malware filename}.exe
(註:%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\<ユーザ名>\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\<ユーザ名>\AppData\Local" です。)
マルウェアは、以下のファイルを作成します。
- %System Root%\SystemID\PersonalID.txt
(註:%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)
マルウェアは、以下のプロセスを追加します。
- "{Malware path}\{Malware filename}" --Admin IsNotAutoStart IsNotTask
- icacls "%AppDataLocal%\{GUID}" /deny *S-1-1-0:(OI)(CI)(DE,DC)
(註:%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\<ユーザ名>\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\<ユーザ名>\AppData\Local" です。)
マルウェアは、以下のフォルダを作成します。
- %System Root%\SystemID
- %AppDataLocal%\{GUID} - two folders created for dropped copy and downloaded files, respectively.
(註:%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\<ユーザ名>\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\<ユーザ名>\AppData\Local" です。)
マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。
- {1D6FC66E-D1F3-422C-8A53-C0BBCF3D900D}
- {FBB4BCC6-05C7-4ADD-B67B-A98A697323C1}
自動実行方法
マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
SysHelper = ""%AppDataLocal%\{GUID}\{malware filename}.exe" --AutoStart"
他のシステム変更
マルウェアは、以下のレジストリ値を追加します。
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion
SysHelper = 1
感染活動
マルウェアは、ワーム活動の機能を備えていません。
バックドア活動
マルウェアは、バックドア活動の機能を備えていません。
ルートキット機能
マルウェアは、ルートキット機能を備えていません
ダウンロード活動
マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。
- http://{BLOCKED}1.{BLOCKED}g/files/penelop/3.exe (Inaccessible)
- http://{BLOCKED}1.{BLOCKED}g/files/penelop/updatewin1.exe
- %AppDataLocal%\{GUID}\updatewin1.exe(Trojan.Win32.MALREP.THOABAAI)
- http://{BLOCKED}1.{BLOCKED}g/files/penelop/updatewin2.exe
- %AppDataLocal%\{GUID}\updatewin2.exe(Trojan.Win32.MALREP.THOABAAI)
- http://{BLOCKED}1.{BLOCKED}g/files/penelop/4.exe
- %AppDataLocal%\{GUID}\4.exe(TrojanSpy.Win32.AZORULT.UHP)
- http://{BLOCKED}1.{BLOCKED}g/files/penelop/5.exe
- %AppDataLocal%\{GUID}\5.exe(Trojan.Win32.WACATAC.USXVPGD19)
- http://{BLOCKED}1.{BLOCKED}g/files/penelop/updatewin.exe
- %AppDataLocal%\{GUID}\updatewin.exe(Trojan.Win32.MALREP.THOABAAI)
マルウェアは、上記で作成されたフォルダ内にダウンロードしたファイルを保存します。
ただし、情報公開日現在、このWebサイトにはアクセスできません。
情報漏えい
マルウェアは、以下の情報を収集します。
- Computer Name
- User Name
その他
マルウェアは、脆弱性を利用した感染活動を行いません。
ランサムウェアの不正活動
マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。
- .bat
- .blf
- .DLL
- .dll
- .ini
- .lnk
- .regtrans-ms
- .sys
- ntuser.dat
- ntuser.dat.LOG1
- ntuser.dat.LOG2
- ntuser.pol
マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。
- {drive letter}\Windows
- {drive letter}\Windows.old
- {drive letter}\$Recycle.Bin
- {drive letter}\$WINDOWS.~BT
- {drive letter}\dell
- {drive letter}\Documents and Settings
- {drive letter}\Games
- {drive letter}\Intel
- {drive letter}\MSOCache
- {drive letter}\PerfLogs
- {drive letter}\Program Files (x86)
- {drive letter}\Program Files (x86)\Google
- {drive letter}\Program Files (x86)\Internet Explorer
- {drive letter}\Program Files (x86)\Mozilla Firefox
- {drive letter}\Program Files\
- {drive letter}\Program Files\Google
- {drive letter}\Program Files\Internet Explorer
- {drive letter}\Program Files\Mozilla Firefox
- {drive letter}\ProgramData
- {drive letter}\ProgramData\Desktop
- {drive letter}\ProgramData\Microsoft
- {drive letter}\ProgramData\Package Cache
- {drive letter}\Recovery
- {drive letter}\System Volume Information
- {drive letter}\SystemID
- {drive letter}\Users\%username%\AppData\Local
- {drive letter}\Users\%username%\AppData\Roaming
- {drive letter}\Users\All Users
- {drive letter}\Users\Default User
- {drive letter}\Users\Default
- {drive letter}\Users\Public
マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。
- .peta
マルウェアが作成する以下のファイルは、脅迫状です。
- {folder of encrypted files}\_readme.txt
<補足>
インストール
マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。
- %AppDataLocal%\{GUID}\{マルウェアのファイル名}.exe
マルウェアは、以下のプロセスを追加します。
- "{マルウェアのパス}\{マルウェアのファイル名}" --Admin IsNotAutoStart IsNotTask
マルウェアは、以下のフォルダを作成します。
- %AppDataLocal%\{GUID} - 作成されたコピーおよびダウンロードされたファイル用にそれぞれ作成された2つのフォルダ。
情報漏えい
マルウェアは、以下の情報を収集します。
- コンピュータ名
- ユーザ名
その他
マルウェアは、以下を実行します。
- 不正活動実行のため、URLに接続して「-Service」および「--ForNetRes」に必要な引数を取得します。
- http://{BLOCKED}1.{BLOCKED}g/hdfhgbdgbdbfgteerpenelop/cvnvbndtedfg/get.php?pid=B1EB245978514B6C14AEE0DAD7723438&first=true
- 以下のスケジュールされたタスクを追加します。
- タスク名: Time Trigger Task
トリガ: 5分毎
実行するタスク: "%AppDataLocal%\ {GUID} \ {マルウェアのファイル名} .exe"
- タスク名: Time Trigger Task
- マルウェアは、以下の引数を受け取るか追加して実行を確認します。
- --Admin → マルウェアを管理者として実行
- --AutoStart → 自動実行レジストリキーを使用して実行
- --ForNetRes {URLからの引数}
- --Service {親マルウェアのプロセスID} {URLからの引数}
- IsAutoStart/IsNotAutoStart → 自動起動としてマルウェアを実行する/しない
- IsTask/IsNotTask → マルウェアをタスクとして実行する/しない
- マルウェアは、以下のURLに接続して、感染コンピュータのIPアドレスおよび位置情報を取得します。
- https://api.{BLOCKED}p.ua/geo.json
- マルウェアは、IPアドレスの位置情報の戻り値が以下のいずれかである場合、感染コンピュータ上で自身を終了し削除します。
- RU (ロシア)
- BY (ベラルーシ)
- UA (ウクライナ)
- AZ (アゼルバイジャン)
- AM (アルメニア)
- TJ (タジキスタン)
- KZ (カザフスタン)
- KG (キルギスタン)
- UZ (ウズベキスタン)
- SY (シリア・アラブ共和国)
- マルウェアは、IPアドレスの位置情報の戻り値が以下のいずれかである場合、感染コンピュータ上で自身を終了し削除します。
- https://api.{BLOCKED}p.ua/geo.json
ランサムウェアの不正活動
対応方法
手順 1
Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 2
このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム(OS)の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル/フォルダ/レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。
手順 3
「Ransom.Win32.STOP.AU」で検出したファイル名を確認し、そのファイルを終了します。
- すべての実行中プロセスが、Windows のタスクマネージャに表示されない場合があります。この場合、"Process Explorer" などのツールを使用しマルウェアのファイルを終了してください。"Process Explorer" については、こちらをご参照下さい。
- 検出ファイルが、Windows のタスクマネージャまたは "Process Explorer" に表示されるものの、削除できない場合があります。この場合、コンピュータをセーフモードで再起動してください。
セーフモードについては、こちらをご参照下さい。 - 検出ファイルがタスクマネージャ上で表示されない場合、次の手順にお進みください。
手順 4
このレジストリ値を削除します。
警告:レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion
- SysHelper = "1"
- SysHelper = "1"
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- SysHelper = "%AppDataLocal%\{GUID}\{Malware File Name}.exe --AutoStart"
- SysHelper = "%AppDataLocal%\{GUID}\{Malware File Name}.exe --AutoStart"
手順 5
スケジュールされたタスクを削除する
タスク削除の手順に含まれる{タスク名} - {実行するタスク}には以下が当てはまります。
- Task Name: Time Trigger Task
- Task to be run: "%AppDataLocal%\{GUID}\{Malware File Name}.exe"
Windows 2000、Windows XP、Windows Server 2003の場合:
- [スタート]→[プログラム]→[アクセサリ]→[システムツール]→[スケジュールされたタスク]をクリックして、スケジュールされたタスクを開きます。
- 上記の{タスク名} を、[名前]の欄に入力します。
- 入力した{タスク名} 持つファイルを右クリックします。
- [プロパティ]をクリックします。 [実行]フィールドで、表示されている{実行するタスク}を確認します。
- 上記の{実行するタスク}と文字列が一致するタスクを削除します。
Windows Vista、Windows 7、Windows Server 2008、Windows 8、Windows 8.1、およびWindows Server 2012の場合:
- Windowsタスクスケジューラを開きます。
• Windows Vista、Windows 7、Windows Server 2008の場合、[スタート]をクリックし、[検索]フィールドに「taskchd.msc」と入力してEnterキーを押します。
• Windows 8、Windows 8.1、Windows Server 2012の場合、画面の左下隅を右クリックし、[実行]をクリックし、「taskchd.msc」と入力してEnterキーを押します。 - 左側のパネルで、[タスクスケジューラライブラリ]をクリックします。
- 中央上部のパネルで、上記の{タスク名}を[名前]の欄に入力します。
- 中央下部のパネルで、[アクション]タブをクリックします。 [詳細]の欄で、{実行するタスク}を確認します。
- 文字列が一致するタスクを削除します。
手順 6
以下のフォルダを検索し削除します。
- %AppDataLocal%\{GUID} ← for drop copy
- %AppDataLocal%\{GUID} ← for downloaded files
手順 7
以下のファイルを検索し削除します。
- %System Root%\SystemID\PersonalID.txt
- %AppDataLocal%\{GUID}\updatewin.exe
- %AppDataLocal%\{GUID}\updatewin1.exe
- %AppDataLocal%\{GUID}\updatewin2.exe
- %AppDataLocal%\{GUID}\4.exe
- %AppDataLocal%\{GUID}\5.exe
- {folder of encrypted files}\_readme.txt
手順 8
最新のバージョン(エンジン、パターンファイル)を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「Ransom.Win32.STOP.AU」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
ご利用はいかがでしたか? アンケートにご協力ください