解析者: John Anthony Bañes   
 別名:

Crypt6.MTR (AVG); Win32/Filecoder.CHIP.A (ESET-NOD32); Trojan-Ransom.ChipCrypter (Ikarus)

 プラットフォーム:

Windows

 危険度:
 ダメージ度:
 感染力:
 感染確認数:
 情報漏えい:

  • マルウェアタイプ:
    トロイの木馬型

  • 破壊活動の有無:
    なし

  • 暗号化:
     

  • 感染報告の有無 :
    はい

  概要

感染経路 他のマルウェアからの作成, インターネットからのダウンロード

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、感染コンピュータから特定の情報を収集します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。 ただし、情報公開日現在、このWebサイトにはアクセスできません。 マルウェアは、実行後、自身を削除します。

  詳細

ファイルサイズ 223,744 bytes
タイプ EXE
メモリ常駐 なし
発見日 2016年11月18日
ペイロード URLまたはIPアドレスに接続

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

  • {fixed and removable disk drive letter}\{6 random characters} (dummy file to check if the drive is writable, file is deleted after checking)
  • {folder containing encrypted files}\CHIP_FILES.txt (ransom note)

マルウェアは、以下のファイルを作成し実行します。

  • bye.bat (terminates the malware process, then deletes the malware file and this batch file afterwards)

情報漏えい

マルウェアは、感染コンピュータから以下の情報を収集します。

  • Windows Version and Processor Type
  • Drive Letters of Available and Writable Disk Drives
  • Computer Name
  • Windows Directory
  • External IP Address

その他

マルウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

  • checkip.dyndns.org

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

  • {BLOCKED}.{BLOCKED}.82.8/index.php

マルウェアは、以下の拡張子をもつファイルを暗号化します。

  • 001
  • 2015
  • 3ds
  • 3fr
  • 500
  • 7z
  • accdb
  • accdb
  • ai
  • amj
  • apk
  • arch00
  • arw
  • asc
  • asset
  • avi
  • bar
  • bay
  • bc6
  • bc7
  • big
  • bik
  • bkf
  • bkp
  • blob
  • bpn
  • bsa
  • cab
  • cas
  • cdr
  • cdt
  • cer
  • cfp
  • cfr
  • cr2
  • crt
  • crw
  • css
  • csv
  • d3dbsp
  • dac
  • das
  • dazip
  • db
  • db0
  • dba
  • dbf
  • dcr
  • der
  • desc
  • dmp
  • dng
  • doc
  • docm
  • docx
  • dwg
  • dwg
  • dxg
  • ebc
  • ebq
  • epb
  • epk
  • eps
  • erf
  • esm
  • ets
  • fdb
  • ff
  • flv
  • forge
  • fos
  • fpk
  • fsh
  • gdb
  • gdb
  • gho
  • gpc
  • hkdb
  • hkx
  • hplg
  • hvpl
  • ibank
  • icxs
  • IIF
  • indd
  • ipt
  • itdb
  • itf
  • itl
  • itm
  • iwd
  • iwi
  • jpe
  • jpeg
  • jpg
  • js
  • kdb
  • kdc
  • kf
  • layout
  • lbf
  • lgb
  • litemod
  • lrf
  • ltx
  • lvl
  • m2
  • m3u
  • m4a
  • map
  • max
  • mcmeta
  • mdb
  • mdb
  • mdbackup
  • mddata
  • mdf
  • mef
  • menu
  • mlx
  • mny
  • mov
  • mp4
  • mpqge
  • mrwref
  • myd
  • mye
  • myox
  • mysql
  • ncf
  • nd
  • nrw
  • ntl
  • odb
  • odc
  • odm
  • odp
  • ods
  • odt
  • ofx
  • orf
  • p12
  • p7b
  • p7c
  • pak
  • pdd
  • pdf
  • pef
  • pem
  • pfx
  • pkpass
  • png
  • ppt
  • pptm
  • pptx
  • psb
  • psd
  • psd
  • psk
  • pst
  • ptb
  • ptb
  • ptx
  • py
  • qba
  • qbatlg
  • qbb
  • qbk
  • qbm
  • qbmb
  • qbo
  • qbw
  • qbx
  • qby
  • qdf
  • qdf
  • qfx
  • qic
  • qif
  • qsd
  • qtx
  • r3d
  • raf
  • rar
  • raw
  • rb
  • re4
  • rgss3a
  • rim
  • rofl
  • rtf
  • rw2
  • rwl
  • sai
  • saj
  • sav
  • sb
  • sdb
  • sdb
  • sid
  • sidd
  • sidn
  • sie
  • sis
  • slm
  • snx
  • sql
  • sr2
  • srf
  • srw
  • sum
  • svg
  • syncdb
  • t11
  • t12
  • t12
  • t13
  • t13
  • t14
  • t15
  • tax
  • tax
  • tax2013
  • tax2014
  • tax2015
  • tax2016
  • tlg
  • tor
  • tt14
  • tt15
  • tt16
  • txf
  • txt
  • upk
  • vbk
  • vcf
  • vdf
  • vfs0
  • vmx
  • vpk
  • vpp_pc
  • vtf
  • w3x
  • wallet
  • wb2
  • wma
  • wmo
  • wmv
  • wotreplay
  • wpd
  • wps
  • x3f
  • xf
  • xlk
  • xls
  • xlsb
  • xlsm
  • xlsx
  • xml
  • xxx
  • zip
  • ztmp

マルウェアは、以下のファイル名を使用し、暗号化されたファイルを改称します。

  • {original filename and extension}.CHIP

ただし、情報公開日現在、このWebサイトにはアクセスできません。

マルウェアは、実行後、自身を削除します。

  対応方法

対応検索エンジン: 9.850
初回 VSAPI パターンバージョン 12.906.09
初回 VSAPI パターンリリース日 2016年11月19日
VSAPI OPR パターンバージョン 12.907.00
VSAPI OPR パターンリリース日 2016年11月20日

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 3

以下のファイルを検索し削除します。

[ 詳細 ]
コンポーネントファイルが隠しファイル属性の場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • {folder containing encrypted files}\CHIP_FILES.txt

手順 4

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「RANSOM_CHIP.A」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。


ご利用はいかがでしたか？　アンケートにご協力ください