RANSOM_JSRAA.D

■ ランサムウェアファイル復号ツール公開

ランサムウェアの脅威が世界的に深刻になっている状況を受けて、ランサムウェアによって暗号化されたファイルの復号ツールをトレンドマイクロは公開しました。この復号ツールの使用方法や復号可能なファイルの条件などの制限事項については以下のダウンロードページを参照してください。

法人向けダウンロードURL：http://esupport.trendmicro.com/solution/ja-JP/1114224.aspx

個人向けダウンロードURL：https://esupport.trendmicro.com/support/vb/solution/ja-jp/1114210.aspx

また、トレンドマイクロでは、ランサムウェアの被害に遭われている法人・個人を対象に無料相談窓口も開設していますので、お困りの方は一度ご相談ください。

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

このランサムウェアは、Windows、特にInternet Explorer用に開発されたスクリプト言語、Jscriptで書かれています。このファミリの亜種は、.LNKファイルからダウンロードされコンピュータに侵入します。

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

これは、トレンドマイクロの製品では、特定の不正活動を実行するファイルの検出名となります。

侵入方法

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
(default) = "{malware path and filename}.js argument"

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\RAA\Raa-fnl

HKEY_CURRENT_USER\RAA\Raa-DI

マルウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\RAA\Raa-fnl
(Default) = "beenFinished"

HKEY_CURRENT_USER\RAA\Raa-DI
(Default) = "{victim ID}"

マルウェアは、以下のレジストリキーを削除します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\VSS

(Note: This is the Windows Volume Shadow Copy (VSS) Service)

その他

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• .doc
• .xls
• .rtf
• .pdf
• .dbf
• .jpg
• .dwg
• .cdr
• .psd
• .cd
• .mdb
• .png
• .lcd
• .zip
• .rar
• .locked
• ~
• $
• csv

マルウェアは、以下のファイルを作成します。

• %My Documents%\doc_attached_{5 random characters} - word document containing fake error message in Russian language
• %Desktop%\!!!README!!!{random characters}.rtf - ransom note
• {Drive}:\!!!README!!!{random characters}.rtf - ransom note

  (Note: %My Documents% is usually C:\Documents and Settings\{user name}\My Documents on Windows 2000, XP, and Server 2003, or C:\Users\{user name}\Documents on Windows Vista and 7.)

(註：%Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.)

これは、トレンドマイクロの製品では、以下の検出名となります。

• RAA ransomware

マルウェアは、以下のファイルを作成します。

• %My Documents%\doc_attached_{5 random characters} - ロシア語の偽のエラーメッセージを含むMicrosoft Wordファイル
• %Desktop%\!!!README!!!{random characters}.rtf – 脅迫状
• {Drive}:\!!!README!!!{random characters}.rtf – 脅迫状

マルウェアは、すべてのドライブ内のファイルを暗号化し、拡張子“.locked”を追加します。

マルウェアは、以下の文字列を含むフォルダおよびディレクトリ内のファイルを暗号化しません。

• WINDOWS
• RECYCLER
• Program Files
• Program Files (x86)
• Windows
• Recycle.Bin
• RECYCLE.BIN
• Recycler
• TEMP
• APPDATA
• AppData
• Temp
• ProgramData
• Microsoft

マルウェアは、以下のURLに接続し、感染ユーザのIDを送信します。 http://{BLOCKED}lloworld.com/mars.php?id={victim ID} - RAA このランサムウェアは、ロシア語の偽のエラーメッセージを含む文書ファイルを開きます。このメッセージは、文書ファイルを開くのに新しいバージョンのMicrosoft Wordを要求します。

暗号化の後、マルウェアは、作成された脅迫状を開きます。