RANSOM_GOLDENEYE.B

■ ランサムウェアファイル復号ツール公開

ランサムウェアの脅威が世界的に深刻になっている状況を受けて、ランサムウェアによって暗号化されたファイルの復号ツールをトレンドマイクロは公開しました。この復号ツールの使用方法や復号可能なファイルの条件などの制限事項については以下のダウンロードページを参照してください。

法人向けダウンロードURL：http://esupport.trendmicro.com/solution/ja-JP/1114224.aspx

個人向けダウンロードURL：https://esupport.trendmicro.com/support/vb/solution/ja-jp/1114210.aspx

また、トレンドマイクロでは、ランサムウェアの被害に遭われている法人・個人を対象に無料相談窓口も開設していますので、お困りの方は一度ご相談ください。

2016年12月に発見されたこのランサムウェアは、ランサムウェア「MISCHA」および「PETYA」との関連が確認されています。このマルウェアに感染したユーザは、コンピュータの再起動後、ファイル暗号化の不正活動を実行されます。

マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。

侵入方法

マルウェアは、以下のマルウェアに作成され、コンピュータに侵入します。

• X2KM_GOLDENEYE.B

インストール

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %UserProfile%\Application Data\{GUID}\{random filename}.exe

マルウェアは、以下のファイルを作成します。

• %Desktop%\YOUR_FILES_ARE_ENCRYPTED.TXT

(註：%Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.)

その他

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• 3dm
• 3ds
• 3fr
• 3g2
• 3ga
• 3gp
• a2c
• aa
• aa3
• aac
• accdb
• aepx
• ai
• aif
• amr
• ape
• apnx
• ari
• arw
• asf
• asp
• aspx
• asx
• avi
• azw
• azw1
• azw3
• azw4
• bak
• bat
• bay
• bin
• bmp
• camproj
• cat
• ccd
• cdi
• cdr
• cer
• cert
• cfg
• cgi
• class
• cmf
• cnf
• conf
• config
• cpp
• cr2
• crt
• crw
• crwl
• cs
• csv
• cue
• dash
• dat
• db
• dbf
• dcr
• dcu
• dds
• default
• der
• dfm
• directory
• disc
• dmg
• dng
• doc
• docm
• docx
• dtd
• dvd
• dwg
• dxf
• eip
• emf
• eml
• eps
• epub
• erf
• fff
• flv
• frm
• gfx
• gif
• gzip
• h
• htm
• html
• idl
• iiq
• indd
• inf
• iso
• jar
• java
• jfif
• jge
• jpe
• jpeg
• jpg
• js
• json
• jsp
• k25
• kdc
• key
• ldf
• lit
• localstorage
• m3u
• m4a
• m4v
• max
• mdb
• mdf
• mef
• mkv
• mobi
• mov
• movie
• mp1
• mp2
• mp3
• mp4
• mp4v
• mpa
• mpe
• mpeg
• mpg
• mpv2
• mrw
• msg
• mts
• mui
• myi
• nef
• nrg
• nri
• nrw
• number
• obj
• odb
• odc
• odf
• odm
• odp
• ods
• odt
• ogg
• orf
• ost
• p12
• p7b
• p7c
• pages
• pas
• pbk
• pdd
• pdf
• pef
• pem
• pfx
• php
• png
• po
• pps
• ppt
• pptm
• pptx
• prf
• props
• ps
• psd
• pspimage
• pst
• ptx
• pub
• py
• qt
• r3d
• ra
• raf
• ram
• rar
• raw
• result
• rll
• rm
• rpf
• rtf
• rw2
• rwl
• sql
• sqlite
• sqllite
• sr2
• srf
• srt
• srw
• svg
• swf
• tga
• tiff
• toast
• ts
• txt
• vbs
• vcd
• vlc
• vmdk
• vmx
• vob
• wav
• wb2
• wdb
• wma
• wmv
• wpd
• wps
• x3f
• xlk
• xls
• xlsb
• xlsm
• xlsx
• xml
• xps
• xsl
• yml
• yuv
• zip

マルウェアは、感染コンピュータのブートセクタを改変し、自身を自動的に読み込みます。その後、マルウェアは、コンピュータを再起動し、自身の活動を実行します。

コンピュータが再起動されると、以下のメッセージがユーザの画面に表示されます。

また、マルウェアは、以下の画面も表示します。

キーが入力されると以下の脅迫状が表示されます。