解析者: Martin Xavier Co   
 別名:

Ransom:Win32/Ergop.A (Microsoft); Ransom.CryptXXX (Sophos)

 プラットフォーム:

Windows

 危険度:
 ダメージ度:
 感染力:
 感染確認数:
 情報漏えい:

  • マルウェアタイプ:
    身代金要求型不正プログラム（ランサムウェア）

  • 破壊活動の有無:
    なし

  • 暗号化:
    はい

  • 感染報告の有無 :
    はい

  概要

感染経路 他のマルウェアからの作成, インターネットからのダウンロード

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、実行後、自身を削除します。

  詳細

ファイルサイズ 258,048 bytes
タイプ EXE
メモリ常駐 はい
発見日 2017年8月1日
ペイロード ファイルの作成, プロセスの強制終了

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

  • {folder of encrypted files}\!back_files!.html
  • %Desktop%\!back_files!.html
  • %System Root%\Users\Public\{malware name}
  • %System Root%\Users\Public\{e29ac6c0-7037-11de-816d-806e6f6e6963}
  • %TEMP%\__t{random characters}.tmp.bat

(註：%Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.. %System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

マルウェアは、実行後、自身を削除します。

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
CertificatesCheck = "%User Profile%\{malware name}"

プロセスの終了

マルウェアは、感染コンピュータ上でプロセスが常駐されていることを確認した場合、以下のいずれかの文字列を含むプロセスまたはサービスを終了します。

  • sql
  • outlook
  • ssms
  • postgre
  • excel
  • word

ランサムウェアの不正活動

マルウェアは、以下の文字列を含むファイルを暗号化します。

  • .$er
  • .4db
  • .4dd
  • .4d
  • .4mp
  • .abs
  • .abx
  • .accdb
  • .accdc
  • .accde
  • .accdr
  • .accdt
  • .accdw
  • .accft
  • .adn
  • .adp
  • .aft
  • .ahd
  • .alf
  • .ask
  • .awdb
  • .azz
  • .bdb
  • .bib
  • .bnd
  • .bok
  • .btr
  • .cdb
  • .cdb
  • .cdb
  • .ckp
  • .clkw
  • .cma
  • .crd
  • .daconnections
  • .dacpac
  • .dad
  • .dadiagrams
  • .daf
  • .daschema
  • .db
  • .db-shm
  • .db-wa
  • .db2
  • .db3
  • .dbc
  • .dbf
  • .dbf
  • .dbk
  • .dbs
  • .dbt
  • .dbv
  • .dbx
  • .dcb
  • .dct
  • .dcx
  • .dd
  • .df1
  • .dmo
  • .dnc
  • .dp1
  • .dqy
  • .dsk
  • .dsn
  • .dta
  • .dtsx
  • .dx
  • .eco
  • .ecx
  • .edb
  • .emd
  • .eq
  • .fcd
  • .fdb
  • .fic
  • .fid
  • .fi
  • .fm5
  • .fmp
  • .fmp12
  • .fmps
  • .fo
  • .fp3
  • .fp4
  • .fp5
  • .fp7
  • .fpt
  • .fzb
  • .fzv
  • .gdb
  • .gwi
  • .hdb
  • .his
  • .ib
  • .idc
  • .ihx
  • .itdb
  • .itw
  • .jtx
  • .kdb
  • .lgc
  • .maq
  • .mdb
  • .mdbhtm
  • .mdf
  • .mdn
  • .mdt
  • .mrg
  • .mud
  • .mwb
  • .myd
  • .ndf
  • .ns2
  • .ns3
  • .ns4
  • .nsf
  • .nv2
  • .nyf
  • .oce
  • .odb
  • .oqy
  • .ora
  • .orx
  • .owc
  • .owg
  • .oyx
  • .p96
  • .p97
  • .pan
  • .pdb
  • .pdm
  • .phm
  • .pnz
  • .pth
  • .pwa
  • .qpx
  • .qry
  • .qvd
  • .rctd
  • .rdb
  • .rpd
  • .rsd
  • .sbf
  • .sdb
  • .sdf
  • .spq
  • .sqb
  • .sq
  • .sqlite
  • .sqlite3
  • .sqlitedb
  • .str
  • .tcx
  • .tdt
  • .te
  • .teacher
  • .tmd
  • .trm
  • .udb
  • .usr
  • .v12
  • .vdb
  • .vpd
  • .wdb
  • .wmdb
  • .xdb
  • .xld
  • .xlgc
  • .zdb
  • .zdc

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

  • !back_files!.html
  • {e29ac6c0-7037-11de-816d-806e6f6e6963}
  • .ocean

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

  • Windows
  • Microsoft
  • Microsoft Help
  • Windows App Certification Kit
  • Windows Defender
  • ESET
  • COMODO
  • Windows NT
  • Windows Kits
  • Windows Mail
  • Windows Media Player
  • Windows Multimedia Platform
  • Windows Phone Kits
  • Windows Phone Silverlight Kits
  • Windows Photo Viewer
  • Windows Portable Devices
  • Windows Sidebar
  • WindowsPowerShell
  • Temp
  • NVIDIA Corporation
  • Microsoft.NET
  • Internet Explorer
  • Kaspersky Lab
  • McAfee
  • Avira
  • spytech software
  • sysconfig
  • Avast
  • Dr.Web
  • Symantec
  • Symantec_Client_Security
  • system volume information
  • AVG
  • Microsoft Shared
  • Common Files
  • Outlook Express
  • Movie Maker
  • Chrome
  • Mozilla Firefox
  • Opera
  • YandexBrowser
  • ntldr
  • Wsus
  • ProgramData

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

  • {original filename}.ocean

マルウェアは、以下の内容を含む脅迫状のテキストファイルを残します。

  対応方法

対応検索エンジン: 9.850
初回 VSAPI パターンバージョン 13.568.08
初回 VSAPI パターンリリース日 2017年8月1日
VSAPI OPR パターンバージョン 13.569.00
VSAPI OPR パターンリリース日 2017年8月2日

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 3

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「RANSOM_BTCWARE.X」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

手順 4

以下のファイルを検索し削除します。

[ 詳細 ]
コンポーネントファイルが隠しファイル属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。  
  • %Desktop%\!back_files!.html
  • %System Root%\Users\Public\{malware name}
  • %System Root%\Users\Public\{e29ac6c0-7037-11de-816d-806e6f6e6963}
  • %TEMP%\__t{random characters}.tmp.bat

手順 5

このレジストリ値を削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce
    • CertificatesCheck = "%User Profile%\{malware name}"


ご利用はいかがでしたか？　アンケートにご協力ください