更新者 : Byron Jon Gelera

 別名:

Ransom:Win32/HiddenTear (Microsoft); Ransom.Cryptolocker (Symantec); Trojan.Win32.TorJok.l (Kaspersky)

 プラットフォーム:

Windows

 危険度:
 ダメージ度:
 感染力:
 感染確認数:
 情報漏えい:

  • マルウェアタイプ:
    身代金要求型不正プログラム(ランサムウェア)

  • 破壊活動の有無:
    なし

  • 暗号化:
    なし

  • 感染報告の有無 :
    はい

  概要

感染経路 インターネットからのダウンロード, 他のマルウェアからの作成

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

  詳細

ファイルサイズ 798,720 bytes
タイプ EXE
メモリ常駐 なし
発見日 2017年6月27日
ペイロード URLまたはIPアドレスに接続, ファイルのダウンロード, 画像の表示, メッセージボックスの表示

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

  • %Application Data%\svchost.exe

(註:%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\<ユーザ名>\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\<ユーザ名>\AppData\Roaming" です。.)

マルウェアは、以下のファイルを作成します。

  • %Application Data%\aes

(註:%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\<ユーザ名>\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\<ユーザ名>\AppData\Roaming" です。.)

マルウェアは、以下のフォルダを作成します。

  • %User Temp%\Tor ← contains Tor browser components

(註:%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\<ユーザー名>\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\<ユーザ名>\AppData\Local\Temp" です。.)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

  • MyUniqueMutexName

自動実行方法

マルウェアは、<User Startup>フォルダ内に、自身のコピーに誘導する以下のショートカットを作成します。これにより、Windows起動時に自身のコピーが自動実行されます。

  • %User Startup%\Notepad.lnk

(註:%User Startup%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\<ユーザ名>\Start Menu\Programs\Startup" 、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、" C:\Users\<ユーザ名>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。.)

他のシステム変更

マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。

  • https://{BLOCKED}t.{BLOCKED}ject.org/torbrowser/7.0.1/tor-win32-0.3.0.8.zip (Tor Browser)
  • http://{BLOCKED}4eayyxjc4j.onion/wall.png (Ransom Note Wallpaper)

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

  • %User Temp%\{5 random characters}.zip ← Tor Browser Package
  • %User Temp%\{5 random characters}.jpg ← Ransom Note Wallpaper

(註:%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\<ユーザー名>\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\<ユーザ名>\AppData\Local\Temp" です。.)

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

  • http://{BLOCKED}4eayyxjc4j.onion/control.php?uid={value}&uname={value}&os={value}&pcname={value}
  • http://{BLOCKED}4eayyxjc4j.onion/controller.php?uid={value}&aes={value}
  • http://{BLOCKED}4eayyxjc4j.onion/total.php?uid={value}&total={value}

ランサムウェアの不正活動

マルウェアは、以下の文字列を含むファイルを暗号化します。

  • .1cd
  • .3d
  • .3d4
  • .3df8
  • .3dm
  • .3ds
  • .3fr
  • .3g2
  • .3gp
  • .3gp2
  • .3mm
  • .3pr
  • .7z
  • .7zip
  • .aac
  • .ab4
  • .abk
  • .abw
  • .ac3
  • .accdb
  • .accde
  • .accdr
  • .accdt
  • .ace
  • .ach
  • .acr
  • .act
  • .adb
  • .ade
  • .adi
  • .adp
  • .adpb
  • .adr
  • .ads
  • .adt
  • .agdl
  • .ai
  • .aiff
  • .aim
  • .aip
  • .ais
  • .ait
  • .al
  • .amf
  • .amr
  • .amu
  • .amx
  • .amxx
  • .ans
  • .aoi
  • .ap
  • .ape
  • .api
  • .apj
  • .arc
  • .ari
  • .arj
  • .aro
  • .arr
  • .arw
  • .asa
  • .asc
  • .ascx
  • .ase
  • .asf
  • .ashx
  • .asm
  • .asmx
  • .asp
  • .aspx
  • .asr
  • .asx
  • .avi
  • .avs
  • .awg
  • .back
  • .backup
  • .backupdb
  • .bak
  • .bank
  • .bay
  • .bck
  • .bdb
  • .bdp
  • .bdr
  • .bgt
  • .bib
  • .bic
  • .big
  • .bik
  • .bin
  • .bkf
  • .bkp
  • .blend
  • .blp
  • .bmc
  • .bmf
  • .bml
  • .bmp
  • .boc
  • .bp2
  • .bp3
  • .bpl
  • .bpw
  • .bsp
  • .c
  • .cag
  • .cam
  • .cap
  • .car
  • .cbr
  • .cbz
  • .cc
  • .ccd
  • .cch
  • .cd
  • .cdf
  • .cdr
  • .cdr3
  • .cdr4
  • .cdr5
  • .cdr6
  • .cdrw
  • .cdx
  • .ce1
  • .ce2
  • .cer
  • .cfg
  • .cgf
  • .cgm
  • .chk
  • .cib
  • .class
  • .clr
  • .cls
  • .cms
  • .cmt
  • .cod
  • .col
  • .config
  • .contact
  • .cp
  • .cpi
  • .cpp
  • .cr2
  • .craw
  • .crd
  • .crt
  • .crw
  • .cs
  • .csh
  • .csi
  • .csl
  • .cso
  • .css
  • .csv
  • .ctt
  • .cty
  • .cwf
  • .dac
  • .dal
  • .dap
  • .dat
  • .db
  • .db3
  • .db_journal
  • .dbb
  • .dbf
  • .dbx
  • .dc2
  • .dcp
  • .dcr
  • .dcs
  • .dcu
  • .ddc
  • .ddcx
  • .ddd
  • .ddoc
  • .ddrw
  • .dds
  • .dem
  • .der
  • .des
  • .design
  • .dev
  • .dex
  • .dgc
  • .dic
  • .dif
  • .dii
  • .dir
  • .disk
  • .dit
  • .divx
  • .diz
  • .djvu
  • .dmg
  • .dng
  • .dob
  • .doc
  • .docm
  • .docx
  • .dot
  • .dotm
  • .dotx
  • .dox
  • .dpk
  • .dpl
  • .dpr
  • .drf
  • .drw
  • .dsk
  • .dsp
  • .dtd
  • .dvd
  • .dvi
  • .dvx
  • .dwg
  • .dxb
  • .dxe
  • .dxf
  • .dxg
  • .edb
  • .elf
  • .eml
  • .eps
  • .eql
  • .erbsql
  • .erf
  • .err
  • .euc
  • .evo
  • .ex
  • .exf
  • .exif
  • .f90
  • .faq
  • .fcd
  • .fdb
  • .fdr
  • .fds
  • .ff
  • .ffd
  • .fff
  • .fh
  • .fhd
  • .fla
  • .flac
  • .flf
  • .flp
  • .flv
  • .flvv
  • .for
  • .fpp
  • .fpx
  • .fxg
  • .gam
  • .gif
  • .gray
  • .grey
  • .grf
  • .groups
  • .gry
  • .gthr
  • .gz
  • .gzig
  • .h
  • .h3m
  • .h4r
  • .hbk
  • .hdd
  • .hpp
  • .htm
  • .html
  • .ibank
  • .ibd
  • .ibz
  • .idx
  • .iif
  • .iiq
  • .img
  • .incpas
  • .indd
  • .ink
  • .ipa
  • .isu
  • .isz
  • .itdb
  • .itl
  • .iwd
  • .jar
  • .jav
  • .java
  • .jc
  • .jfif
  • .jgz
  • .jif
  • .jiff
  • .jnt
  • .jpc
  • .jpe
  • .jpeg
  • .jpf
  • .jpg
  • .jpw
  • .js
  • .kc2
  • .kdbx
  • .kdc
  • .key
  • .kmz
  • .kpdx
  • .kwd
  • .kwm
  • .laccdb
  • .lbi
  • .lcd
  • .lcf
  • .ldb
  • .ldf
  • .lgp
  • .lit
  • .log
  • .lp2
  • .ltm
  • .ltr
  • .lua
  • .lvl
  • .m
  • .m2ts
  • .m3u
  • .m4p
  • .m4v
  • .mag
  • .man
  • .map
  • .mapimail
  • .max
  • .mbox
  • .mbx
  • .mcd
  • .md
  • .md3
  • .mdb
  • .mdc
  • .mdf
  • .mdl
  • .mdn
  • .mds
  • .mef
  • .mfw
  • .mic
  • .mid
  • .mip
  • .mkv
  • .mlb
  • .mlx
  • .mmw
  • .mny
  • .mod
  • .moneywell
  • .mos
  • .mov
  • .moz
  • .mp3
  • .mp4
  • .mpeg
  • .mpg
  • .mrw
  • .msg
  • .msp
  • .mxp
  • .myd
  • .nav
  • .ncd
  • .nd
  • .ndd
  • .ndf
  • .nds
  • .nef
  • .nfo
  • .nk2
  • .nop
  • .now
  • .nrg
  • .nri
  • .nrw
  • .ns2
  • .ns3
  • .ns4
  • .nsd
  • .nsf
  • .nsg
  • .nsh
  • .nvram
  • .nwb
  • .nx2
  • .nxl
  • .nyf
  • .oab
  • .obj
  • .odb
  • .odc
  • .odf
  • .odg
  • .odi
  • .odm
  • .odp
  • .ods
  • .odt
  • .oft
  • .oga
  • .ogg
  • .oil
  • .opf
  • .orf
  • .ost
  • .otg
  • .oth
  • .otp
  • .ots
  • .ott
  • .owl
  • .oxt
  • .p12
  • .p7b
  • .p7c
  • .pab
  • .pages
  • .pak
  • .pas
  • .pat
  • .pbf
  • .pbp
  • .pbs
  • .pcd
  • .pct
  • .pcv
  • .pdb
  • .pdd
  • .pdf
  • .pef
  • .pem
  • .pfx
  • .php
  • .pif
  • .pkb
  • .pkh
  • .pl
  • .plc
  • .pli
  • .plus_muhd
  • .pm
  • .png
  • .pot
  • .potm
  • .potx
  • .ppam
  • .ppd
  • .ppf
  • .pps
  • .ppsm
  • .ppsx
  • .ppt
  • .pptm
  • .pptx
  • .prc
  • .prf
  • .prt
  • .ps
  • .psa
  • .psafe3
  • .psd
  • .pspimage
  • .py
  • .pst
  • .ptx
  • .puz
  • .pwf
  • .pwi
  • .pwm
  • .pxp
  • .py
  • .qba
  • .qbb
  • .qbm
  • .qbr
  • .qbw
  • .qbx
  • .qby
  • .qcow
  • .qcow2
  • .qdf
  • .qed
  • .qel
  • .qif
  • .qpx
  • .qtq
  • .qtr
  • .r3d
  • .ra
  • .raf
  • .rar
  • .rat
  • .raw
  • .rdb
  • .res
  • .rev
  • .rgn
  • .rm
  • .rng
  • .rrt
  • .rsrc
  • .rsw
  • .rte
  • .rtf
  • .rts
  • .rtx
  • .rum
  • .run
  • .rv
  • .rvt
  • .rw2
  • .rwl
  • .rwz
  • .s3db
  • .sad
  • .saf
  • .safe
  • .sas7bdat
  • .sav
  • .save
  • .say
  • .scm
  • .scn
  • .scx
  • .sd0
  • .sda
  • .sdb
  • .sdc
  • .sdf
  • .sdn
  • .sds
  • .sdt
  • .sen
  • .sfs
  • .sfx
  • .sh
  • .shar
  • .shr
  • .shw
  • .sldm
  • .sldx
  • .slt
  • .snp
  • .so
  • .spr
  • .sql
  • .sqlite
  • .sqlite3
  • .sqlitedb
  • .sqx
  • .sr2
  • .srf
  • .srt
  • .srw
  • .ssa
  • .st4
  • .st5
  • .st6
  • .st7
  • .st8
  • .stc
  • .std
  • .sti
  • .stm
  • .stt
  • .stw
  • .stx
  • .sud
  • .svg
  • .svi
  • .svr
  • .swd
  • .swf
  • .sxc
  • .sxd
  • .sxg
  • .sxi
  • .sxm
  • .sxw
  • .tar
  • .tax2013
  • .tax2014
  • .tbz2
  • .tch
  • .tcx
  • .tex
  • .txt
  • .text
  • .tg
  • .tga
  • .thm
  • .thmx
  • .tif
  • .tlg
  • .tlz
  • .tpu
  • .tpx
  • .trp
  • .tu
  • .tur
  • .txd
  • .txf
  • .txt
  • .uax
  • .udf
  • .umx
  • .unr
  • .unx
  • .uop
  • .upoi
  • .url
  • .usa
  • .usx
  • .ut2
  • .ut3
  • .utc
  • .utx
  • .uvx
  • .uxx
  • .val
  • .vbox
  • .vc
  • .vcd
  • .vdi
  • .vdo
  • .ver
  • .vhd
  • .vhdx
  • .vmdk
  • .vmf
  • .vmsd
  • .vmt
  • .vmx
  • .vmxf
  • .vob
  • .vsi
  • .vtf
  • .w3g
  • .w3x
  • .wab
  • .wad
  • .wallet
  • .war
  • .wav
  • .wave
  • .waw
  • .wb2
  • .wbk
  • .wdgt
  • .wks
  • .wm
  • .wma
  • .wmd
  • .wmdb
  • .wmmp
  • .wmv
  • .wmx
  • .wow
  • .wpd
  • .wpk
  • .wpl
  • .wps
  • .wsh
  • .wtd
  • .wtf
  • .wvx
  • .x11
  • .x3f
  • .xis
  • .xl
  • .xla
  • .xlam
  • .xlc
  • .xlk
  • .xll
  • .xlm
  • .xlr
  • .xls
  • .xlsb
  • .xlsm
  • .xlsx
  • .xlt
  • .xltm
  • .xltx
  • .xlv
  • .xlw
  • .xlwx
  • .xml
  • .xpi
  • .xpt
  • .xvid
  • .xwd
  • .yab
  • .ycbcra
  • .yps
  • .yuv
  • .z02
  • .z04
  • .zap
  • .zip
  • .zipx
  • .zoo
  • .saz
  • .tlp

マルウェアは、以下のディレクトリ内で確認されたファイルを暗号化します。

  • All folders under All Fixed Drives Except %System Root%
  • %Desktop%
  • %User Profile%\Pictures
  • %User Profile%\Music
  • %User Profile%\Documents

(註:%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\<ユーザ名>\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\<ユーザ名>\Desktop" です。.. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\<ユーザ名>"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\<ユーザ名>" です。.)

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

  • .ipygh

マルウェアが作成する以下のファイルは、脅迫状です。

  • %Desktop%\ReadMe.html

(註:%Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\<ユーザ名>\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\<ユーザ名>\Desktop" です。.)

  対応方法

対応検索エンジン: 9.850
初回 VSAPI パターンバージョン 13.500.07
初回 VSAPI パターンリリース日 2017年6月28日
VSAPI OPR パターンバージョン 13.501.00
VSAPI OPR パターンリリース日 2017年6月29日

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム(OS)の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル/フォルダ/レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 3

以下のフォルダを検索し削除します。

[ 詳細 ]
フォルダが隠しフォルダ属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • %User Temp%\Tor

手順 4

以下のファイルを検索し削除します。

[ 詳細 ]
コンポーネントファイルが隠しファイル属性の場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • %Application Data%\aes
  • %User Startup%\Notepad.lnk
  • %User Temp%\{5 random characters}.zip
  • %User Temp%\{5 random characters}.jpg
  • %Desktop%\ReadMe.html

手順 5

最新のバージョン(エンジン、パターンファイル)を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「RANSOM_KARO.A」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

手順 7

デスクトッププロパティを修正します。

[ 詳細 ]


ご利用はいかがでしたか? アンケートにご協力ください