解析者: Mio Fidel Villena   
 別名:

Trojan-PSW.Win32.Fareit.anvg (KASPERSKY), Mal/Zbot-QU (SOPHOS_LITE), Trojan:Win32/Kovter.C (MICROSOFT)

 プラットフォーム:

Windows

 危険度:
 ダメージ度:
 感染力:
 感染確認数:
 情報漏えい:

  • マルウェアタイプ:
    身代金要求型不正プログラム（ランサムウェア）

  • 破壊活動の有無:
    なし

  • 暗号化:
    なし

  • 感染報告の有無 :
    はい

  概要

感染経路 他のマルウェアからの作成, インターネットからのダウンロード

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

  詳細

ファイルサイズ 128,596 bytes
タイプ EXE
メモリ常駐 はい
発見日 2018年1月29日
ペイロード URLまたはIPアドレスに接続, メッセージボックスの表示

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

  • %Desktop%\{Random Characters}.zip
  • %AppDataLocal%\{Random Characters}\{Random Character}.zip

(註：%Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.. %AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

  • %User Temp%\{Random Characters}.exe
  • %AppDataLocal%\{Random Folder}\{Random Characters}.exe
  • %System Root%\{GUID}\{Random Characters}.exe
  • %Program Files%\{Random Folder}\{Random Characters}.exe

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。. %System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %Program Files%フォルダは、プログラムファイルのフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Program Files"、64bitのOS上で32bitのアプリケーションを実行している場合、 "C:\Program Files (x86)" です。.)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

  • Global\{GUID}

自動実行方法

マルウェアは、作成されたコンポーネントがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{Random Characters} = %AppDataLocal%\{Random Folder}\{Random Characters}.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Userinit = %System%\userinit.exe,, %Program Files%\{Random Folder}\{Fandom Characters}.exe

マルウェアは、Windows起動時に自動実行されるよう＜User Startup＞フォルダ内に以下のファイルを作成します。

  • %User Startup%\{Random Characters}.exe

(註：%User Startup%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" 、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、" C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。.)

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\{GUID}
ID = {Random Bytes}

HKEY_CURRENT_USER\Software\{GUID}
ID = {Random Bytes}

HKEY_CURRENT_USER\Software\{GUID}
PeriodDisabed = 1

HKEY_LOCAL_MACHINE\SOFTWARE\{GUID}
PeriodDisabed = 1

マルウェアは、以下のレジストリキーを変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
EnableLUA = 0

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
DisableNotifications = 1

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
DoNotAllowExceptions = 0

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
EnableFirewall = 0

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\wscsvc
Start = 4

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\wuauserv
Start = 4

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\MpsSvc
Start = 4

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
AntiVirusOverride = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
AntiVirusDisableNotify = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
FirewallDisableNotify = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
FirewallOverride = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
UpdatesDisableNotify = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
UacDisableNotify = 1

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
system
DisableTaskMgr = 1

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

  • http://{BLOCKED}.{BLOCKED}.192.94
  • http://{BLOCKED}.{BLOCKED}.26.251
  • {Random Domain}.com
    It uses domain generation algorithm (DGA) for its C&C servers.

ランサムウェアの不正活動

マルウェアは、以下の文字列を含むファイルを暗号化します。

  • .7z
  • .accdb
  • .ai
  • .arw
  • .avi
  • .bay
  • .cdr
  • .cr2
  • .crw
  • .dbf
  • .dcr
  • .dng
  • .doc
  • .docm
  • .docx
  • .dwg
  • .dxf
  • .dxg
  • .eps
  • .erf
  • .indd
  • .iso
  • .jpe
  • .jpeg
  • .jpg
  • .kdc
  • .mdb
  • .mdf
  • .mef
  • .mpeg
  • .mpg
  • .mrw
  • .nef
  • .nrw
  • .odb
  • .odm
  • .odp
  • .ods
  • .odt
  • .ogg
  • .orf
  • .pdd
  • .pdf
  • .pef
  • .png
  • .ppt
  • .pptx
  • .psd
  • .pst
  • .ptx
  • .r3d
  • .raf
  • .rar
  • .raw
  • .rtf
  • .rw2
  • .rwl
  • .srf
  • .srw
  • .wb2
  • .wmv
  • .wpd
  • .wps
  • .xlk
  • .xls
  • .xlsb
  • .xlsm
  • .xlsx
  • .zip
  • .pptm

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

  • {Random Characters}
  • {Random Characters}.zip

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

  • Windows
  • System32
  • System
  • Temporary Internet Files

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

  • .enc.rtf

  対応方法

対応検索エンジン: 9.850
初回 VSAPI パターンバージョン 13.954.01
初回 VSAPI パターンリリース日 2018年2月8日
VSAPI OPR パターンバージョン 13.955.00
VSAPI OPR パターンリリース日 2018年2月9日

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 3

このマルウェアは、通常モードまたはセーフモード下での検出および削除手順では、マルウェアを完全に削除することができない場合があります。そのため、以下の方法で Windows の回復コンソールを使用し、コンピュータを再起動してください。

•Windows 2000、XP および Server 2003 の場合

  1. Windows のインストール CD を使用して、コンピュータを再起動します。
  2. [セットアップへようこそ] 画面で、修復の R キーを押します。 （註： Windows2000 の場合、R キーを入力後 C キーを入力し、[修復オプション]から[回復コンソール]を選択します。）
  3. キーボードを選択します。
  4. 修復する Windows がインストールされているドライブを選択します（通常は 1 を選択します）。
  5. 管理者のパスワードを入力し、Enter を押します。管理者パスワードがない場合は、何も入力せずに Enter を押します。
  6. コマンドプロンプトに、以下のコマンドを入力し、Enter を押してください。
    SET AllowAllPaths = TRUE
DATA_GENERIC
  • コマンドプロンプトに exit と入力し、コンピュータを再起動してください。

    •Windows Vista、7 および Server 2008 の場合：

    1. Windows のインストール DVD を使用して、コンピュータを再起動します。
    2. 再起動するかどうかの確認画面が表示されたら、いずれかのキーを入力し、表示される指示に従います。
    3. Windows のインストールDVDによっては、インストールする言語の選択が必要になる場合があります。 Windows のインストール画面で、言語、ロケール情報およびキーボードの種類と入力方法を選択します。[コンピュータを修復する]をクリックします。
    4. コンピュータを修復します。[次へ]-[コンピューターの修復]をクリックします。
    5. [システム回復オプション]で、[Windows の起動に伴う修復用の回復ツールを使用します。修復するオペレーティングシステムを選択してください。]を選択し、該当のオペレーティングシステムを選びます。そして[次へ]をクリックします。
    6. [スタートアップ修復]画面が表示された場合、[キャンセル]-[はい]-[完了]をクリックします。
    7. [システム回復オプション]メニューで、[コマンドプロンプト]をクリックします。
    8. 以下のコマンドを入力し、Enter を押します。
      DATA_GENERIC
      ※Windows 7 の場合、すべてのローカルドライブは、通常よりひとつ多く割り当てられています。例：C:ドライブは、D:ドライブとなります。
    9. コマンドプロンプトに exit と入力し、Enter を押して、コマンドプロンプトを閉じます。
    10. [再起動]をクリックしてコンピュータを通常どおり再起動してください。

    •Windows 8、8.1 および Server 2012 の場合：

    1. Windows のインストールDVDを使用して、コンピュータを再起動します。
    2. 再起動するかどうかの確認画面が表示されたら、いずれかのキーを入力し、表示される指示に従います。
    3. インストールDVDによっては、インストール言語の選択が必要な場合があります。その場合、Windowsのインストールウィンドウで、言語、ロケール、キーボードレイアウトや入力方法を選択します。
    4. コンピュータを修復します。[次へ]-[コンピューターの修復]をクリックします。
    5. [トラブルシューティング]－[詳細オプション]－[コマンドプロンプト]を選択。
    6. [コマンドプロンプト]ウィンドウで、以下を入力し、Enterを押します。
      DATA_GENERIC
    7. exitを入力し、Enterを押し、コマンドプロンプト画面を閉じます。
    8. [再起動]をクリックし、コンピュータを通常起動します。

    • 手順 4

    このレジストリキーを削除します。

    [ 詳細 ]

    警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
    レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
    レジストリの編集前にこちらをご参照ください。

    • In HKEY_LOCAL_MACHINE\SOFTWARE\{GUID}
      • ID = {Random Bytes}
    • In HKEY_LOCAL_MACHINE\SOFTWARE\{GUID}
      • PeriodDisabed = 1
    • In HKEY_CURRENT_USER\Software\{GUID}
      • ID = {Random Bytes}
    • In HKEY_CURRENT_USER\Software\{GUID}
      • PeriodDisabed = 1
    • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
      • {Random Characters} = %AppDataLocal%\{Random Folder}\{Random Characters}.exe

    手順 5

    変更されたレジストリ値を修正します。

    [ 詳細 ]

    警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
    事前に意図的に対象の設定を変更していた場合は、意図するオリジナルの設定に戻してください。変更する値が分からない場合は、システム管理者にお尋ねいただき、レジストリの編集はお客様の責任として行なって頂くようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
    レジストリの編集前にこちらをご参照ください。

    • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
      • From: "Userinit = %System%\userinit.exe,, %Program Files%\{Random Folder}\{Fandom Characters}.exe"
        To: "Userinit = %System%\userinit.exe"
    • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Wdows\CurrentVersion\Policies\System
      • From: "EnableLUA = 0"
        To: "EnableLUA = 1"
    • In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\SharedAccess\Parameters\FirewallPolicy\StandardProfile
      • From: "DisableNotifications = 1"
        To: "DisableNotifications = 0"
    • In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\SharedAccess\Parameters\FirewallPolicy\StandardProfile
      • From: "DoNotAllowExceptions = 0"
        To: "DoNotAllowExceptions = 1"
    • In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\SharedAccess\Parameters\FirewallPolicy\StandardProfile
      • From: "EnableFirewall = 0"
        To: "EnableFirewall = 1"
    • In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\wscsvc
      • From: "Start = 4"
        To: "Start = 2"
    • In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\wuauserv
      • From: "Start = 4"
        To: "Start = 2"
    • In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\MpsSvc
      • From: "Start = 4"
        To: "Start = 2"
    • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
      • From: "AntiVirusOverride = 1"
        To: "AntiVirusOverride = 0"
    • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
      • From: "AntiVirusDisableNotify = 1"
        To: "AntiVirusDisableNotify = 0"
    • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
      • From: "FirewallDisableNotify = 1"
        To: "FirewallDisableNotify = 0"
    • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
      • From: "FirewallOverride = 1"
        To: "FirewallOverride = 0"
    • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
      • From: "UpdatesDisableNotify = 1"
        To: "UpdatesDisableNotify = 0"
    • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
      • From: "UacDisableNotify = 1"
        To: "UacDisableNotify = 0"
    • In HKEY_CURRENT_USER\Software\Microsoft\Wdows\CurrentVersion\Policies\system
      • From: "DisableTaskMgr = 1"
        To: "DisableTaskMgr = 0"

    手順 6

    以下のファイルを検索し削除します。

    [ 詳細 ]
    コンポーネントファイルが隠しファイル属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。  
    • %AppDataLocal%\{Random Characters}\{Random Character}.zip
    • %AppDataLocal%\{Random Folder}\{Random Characters}.exe
    • %Desktop%\{Random Characters}.zip
    • %Program Files%\{Random Folder}\{Random Characters}.exe
    • %System Root%\{GUID}\{Random Characters}.exe
    • %User Startup%\{Random Characters}.exe
    • %User Temp%\{Random Characters}.exe

    手順 7

    コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「RANSOM_DIRCRYPT.THACOH」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。


    ご利用はいかがでしたか？　アンケートにご協力ください