解析者: Oliver Ramirez   
 プラットフォーム:

Windows

 危険度:
 ダメージ度:
 感染力:
 感染確認数:
 情報漏えい:

  • マルウェアタイプ:
    身代金要求型不正プログラム（ランサムウェア）

  • 破壊活動の有無:
    なし

  • 暗号化:
    なし

  • 感染報告の有無 :
    はい

  概要

感染経路 インターネットからのダウンロード, 他のマルウェアからの作成

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

  詳細

ファイルサイズ 116,736 bytes
タイプ EXE
メモリ常駐 はい
発見日 2017年8月13日
ペイロード ウインドウの表示, 画像の表示

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

  • %Temp%\wallpaper.bmp
  • %Desktop%\sys.bat <-used to terminate the ransomware

(註：%Temp%フォルダは、一時的にファイルが保存されるフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Windows\Temp" です。.. %Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.)

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %Temp%\wallpaper.bmp

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

  • .crypt12
  • .tmp
  • .sep
  • .tlb
  • .tbl
  • .tsp
  • .cmd
  • .ax
  • .olb
  • .com
  • .acm
  • .edb
  • .ini
  • .exe
  • .386
  • .73u
  • .8xu
  • .adm
  • .adml
  • .admx
  • .ani
  • .ann
  • .aos
  • .asec
  • .bio
  • .bk2
  • .blf
  • .bmk
  • .bud
  • .cab
  • .cdmp
  • .chs
  • .ci
  • .cnt
  • .cpi
  • .cpl
  • .cpq
  • .cur
  • .desklink
  • .deskthemepack
  • .dev
  • .diagcab
  • .diagcfg
  • .diagpkg
  • .dimax
  • .dit
  • .drv
  • .dss
  • .dyc
  • .ebd
  • .efi
  • .evtx
  • .ffa
  • .ffl
  • .ffo
  • .ffx
  • .ftg
  • .fts
  • .gmmp
  • .grl
  • .group
  • .grp
  • .h1s
  • .hdmp
  • .hhc
  • .hhk
  • .hiv
  • .hlp
  • .hpj
  • .hsh
  • .htt
  • .icl
  • .icns
  • .ico
  • .idi
  • .ifw
  • .ime
  • .img3
  • .inf_loc
  • .ins
  • .ion
  • .ipod
  • .itemdata-ms
  • .its
  • .jpn
  • .kbd
  • .key
  • .kor
  • .library-ms
  • .lnk
  • .log1
  • .log2
  • .lpd
  • .manifest
  • .mapimail
  • .mdmp
  • .mi4
  • .mlc
  • .mobileconfig
  • .msc
  • .msp
  • .msstyle
  • .msstyles
  • .mui
  • .mui_cccd5ae0
  • .mum
  • .mydocs
  • .nb0
  • .nbh
  • .nfo
  • .nls
  • .nt
  • .ntfs
  • .p7b
  • .pck
  • .pdr
  • .pfx
  • .pid
  • .pk2
  • .pol
  • .ppd
  • .prefpane
  • .prf
  • .printerexport
  • .ps2
  • .pwl
  • .rc1
  • .rc2
  • .rco
  • .reg
  • .regtrans-ms
  • .rfw
  • .rmt
  • .rs
  • .ruf
  • .savedsearch
  • .sbn
  • .scap
  • .scf
  • .scr
  • .shd
  • .shsh
  • .swp
  • .sys
  • .tdz
  • .tha
  • .theme
  • .trx_dll
  • .uce
  • .vga
  • .vgd
  • .vx_
  • .vxd
  • .webpnp
  • .wer
  • .wph
  • .wpx
  • .xfb
  • .xrm-ms
  • .dat
  • .db
  • .dll
  • .dmp
  • .ics
  • .mod
  • .mpa
  • .msu
  • .nomedia
  • .ocx
  • .ps1
  • .rom
  • .rtp
  • .shs
  • .spl
  • .themepack
  • .0
  • .000
  • .amlv
  • .automaticdestinations-ms
  • .bashrc
  • .bash_history
  • .bash_profile
  • .bin
  • .bk1
  • .bom
  • .c32
  • .cat
  • .cgz
  • .chg
  • .chk
  • .cht
  • .clb
  • .cpr
  • .crash
  • .dlx
  • .dvd
  • .edj
  • .elf
  • .emerald
  • .etl
  • .evt
  • .fid
  • .fpbf
  • .help
  • .idx
  • .ius
  • .job
  • .lfs
  • .lockfile
  • .lst
  • .mbr
  • .mem
  • .metadata_never_index
  • .panic
  • .pat
  • .pit
  • .pnf
  • .ppm
  • .profile
  • .prt
  • .qvm
  • .saver
  • .sbf
  • .schemas
  • .sdb
  • .searchconnector-ms
  • .sfcache
  • .so.0
  • .sqm
  • .str
  • .wdf
  • .wdgt
  • .wgz
  • .zone.identifier

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

  • ={cryptid}=mortalis_certamen@{BLOCKED}l.com.crypt12

  対応方法

対応検索エンジン: 9.850
初回 VSAPI パターンバージョン 13.596.07
初回 VSAPI パターンリリース日 2017年8月15日
VSAPI OPR パターンバージョン 13.597.00
VSAPI OPR パターンリリース日 2017年8月16日

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 3

「RANSOM_CRYPTWELVE.A」で検出したファイル名を確認し、そのファイルを終了します。

[ 詳細 ]

  • すべての実行中プロセスが、Windows のタスクマネージャに表示されない場合があります。この場合、"Process Explorer" などのツールを使用しマルウェアのファイルを終了してください。"Process Explorer" については、こちらをご参照下さい。
  • 検出ファイルが、Windows のタスクマネージャまたは "Process Explorer" に表示されるものの、削除できない場合があります。この場合、コンピュータをセーフモードで再起動してください。
    セーフモードについては、こちらをご参照下さい。
  • 検出ファイルがタスクマネージャ上で表示されない場合、次の手順にお進みください。

手順 4

以下のファイルを検索し削除します。

[ 詳細 ]
コンポーネントファイルが隠しファイル属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。  
  • %Temp%\wallpaper.bmp
  • %Desktop%\sys.bat

手順 5

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「RANSOM_CRYPTWELVE.A」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

手順 6

デスクトッププロパティを修正します。

[ 詳細 ]


ご利用はいかがでしたか？　アンケートにご協力ください