RANSOM_JIGSAW.I

■ ランサムウェアファイル復号ツール公開

ランサムウェアの脅威が世界的に深刻になっている状況を受けて、ランサムウェアによって暗号化されたファイルの復号ツールをトレンドマイクロは公開しました。この復号ツールの使用方法や復号可能なファイルの条件などの制限事項については以下のダウンロードページを参照してください。

法人向けダウンロードURL：http://esupport.trendmicro.com/solution/ja-JP/1114224.aspx

個人向けダウンロードURL：https://esupport.trendmicro.com/support/vb/solution/ja-jp/1114210.aspx

また、トレンドマイクロでは、ランサムウェアの被害に遭われている法人・個人を対象に無料相談窓口も開設していますので、お困りの方は一度ご相談ください。

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

この暗号化型ランサムウェア「JIGSAW」は、ユーザが要求された身代金の支払いを促すためにチャットサポートを利用します。従来の「JIGSAW」の亜種は、ユーザを恐怖に陥れたり、ポルノに関連した身代金支払いのメッセージを利用することで知られています。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、以下のリモートサイトからダウンロードされ、コンピュータに侵入します。

• 1.amazonaws.com/{BLOCKED}com/invoice75648.exe

インストール

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %Application Data%\Magyrn\Magyrn.exe
• %AppDataLocal%\Nordsa\Nordsa.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.. %AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。)

マルウェアは、以下の無害なファイルを作成します。

• %Application Data%\System32Work\Address.txt - bitcoin address
• %Application Data%\System32Work\EncryptedFileList.txt - list of encrypted files
• %Application Data%\System32Work\dr

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、以下のフォルダを作成します。

• %Application Data%\System32Work
• %Application Data%\Magyrn
• %AppDataLocal%\Nordsa

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.. %AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Magyrn.exe = "%Application Data%\Magyrn\Magyrn.exe"

他のシステム変更

マルウェアは、以下のファイルを改変します。

• It encrypts files and appends the extension .payrms

その他

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• .jpg
• .jpeg
• .raw
• .gif
• .png
• .bmp
• .3dm
• .max
• .accdb
• .db
• .dbf
• .mdb
• .pdb
• .sql
• .dwg
• .dxf
• .c
• .cpp
• .cs
• .h
• .php
• .asp
• .rb
• .java
• .jar
• .class
• .py
• .js
• .aaf
• .aep
• .aepx
• .plb
• .prel
• .prproj
• .aet
• .ppj
• .psd
• .indd
• .indl
• .indt
• .indb
• .inx
• .idml
• .pmd
• .xqx
• .xqx
• .ai
• .eps
• .ps
• .svg
• .swf
• .fla
• .as3
• .as
• .txt
• .doc
• .dot
• .docx
• .docm
• .dotx
• .dotm
• .docb
• .rtf
• .wpd
• .wps
• .msg
• .pdf
• .xls
• .xlt
• .xlm
• .xlsx
• .xlsm
• .xltx
• .xltm
• .xlsb
• .xla
• .xlam
• .xll
• .xlw
• .ppt
• .pot
• .pps
• .pptx
• .pptm
• .potx
• .potm
• .ppam
• .ppsx
• .ppsm
• .sldx
• .sldm
• .wav
• .mp3
• .aif
• .iff
• .m3u
• .m4u
• .mid
• .mpa
• .wma
• .ra
• .avi
• .mov
• .mp4
• .3gp
• .mpeg
• .3g2
• .asf
• .asx
• .flv
• .mpg
• .wmv
• .vob
• .m3u8
• .dat
• .csv
• .efx
• .sdf
• .vcf
• .xml
• .ses
• .Qbw
• .QBB
• .QBM
• .QBI
• .QBR
• .Cnt
• .Des
• .v30
• .Qbo
• .Ini
• .Lgb
• .Qwc
• .Qbp
• .Aif
• .Qba
• .Tlg
• .Qbx
• .Qby
• .1pa
• .Qpd
• .Txt
• .Set
• .Iif
• .Nd
• .Rtp
• .Tlg
• .Wav
• .Qsm
• .Qss
• .Qst
• .Fx0
• .Fx1
• .Mx0
• .FPx
• .Fxr
• .Fim
• .ptb
• .Ai
• .Pfb
• .Cgn
• .Vsd
• .Cdr
• .Cmx
• .Cpt
• .Csl
• .Cur
• .Des
• .Dsf
• .Ds4
• .Drw
• .Dwg
• .Eps
• .Ps
• .Prn
• .Gif
• .Pcd
• .Pct
• .Pcx
• .Plt
• .Rif
• .Svg
• .Swf
• .Tga
• .Tiff
• .Psp
• .Ttf
• .Wpd
• .Wpg
• .Wi
• .Raw
• .Wmf
• .Txt
• .Cal
• .Cpx
• .Shw
• .Clk
• .Cdx
• .Cdt
• .Fpx
• .Fmv
• .Img
• .Gem
• .Xcf
• .Pic
• .Mac
• .Met
• .PP4
• .Pp5
• .Ppf
• .Xls
• .Xlsx
• .Xlsm
• .Ppt
• .Nap
• .Pat
• .Ps
• .Prn
• .Sct
• .Vsd
• .wk3
• .wk4
• .XPM
• .zip
• .rar

マルウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

マルウェアは、ファイルを暗号化し、拡張子".payms"を追加します。

マルウェアは、暗号化後コンピュータが起動する毎に以下のウィンドウを表示します。

マルウェアは、複号のためにビットコインで149ドルの支払いを要求します。