RANSOM_MIRCOP.A

■ ランサムウェアファイル復号ツール公開

ランサムウェアの脅威が世界的に深刻になっている状況を受けて、ランサムウェアによって暗号化されたファイルの復号ツールをトレンドマイクロは公開しました。この復号ツールの使用方法や復号可能なファイルの条件などの制限事項については以下のダウンロードページを参照してください。

法人向けダウンロードURL：http://esupport.trendmicro.com/solution/ja-JP/1114224.aspx

個人向けダウンロードURL：https://esupport.trendmicro.com/support/vb/solution/ja-jp/1114210.aspx

また、トレンドマイクロでは、ランサムウェアの被害に遭われている法人・個人を対象に無料相談窓口も開設していますので、お困りの方は一度ご相談ください。

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

このランサムウェアは、スパムメールの添付ファイルを介して侵入します。添付の文書ファイルは、タイの税関申告書を装っています。他の脅迫状に見られるように、ユーザに具体的な支払方法を指示するのと違い、「MIRCOP」の場合はユーザがビットコインの取引について慣れていることを前提にしています。マルウェアは、感染されたユーザに40 ビットコイン以上の身代金を要求しており、2016年6月24日現在、最高額の域に入ります。

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

マルウェアは、感染コンピュータや感染ユーザから特定の情報を収集します。

侵入方法

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Startup%\MicroCop.lnk
• %User Temp%\PassW8.txt
• %User Temp%\Sqlite.dll
• %User Temp%\c.exe - steals information
• %User Temp%\wl.jpg - wallpaper
• %User Temp%\x.exe - encrypts files
• %User Temp%\y.exe - encrypts files

(註：%User Startup%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" 、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、" C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。.. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = "%User Temp%\wl.jpg"

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://www.{BLOCKED}y.nl/u/putty.exe

情報漏えい

マルウェアは、以下の情報を収集します。

• Filezilla
• Windows Mail
• Mozilla Firefox
• Google Chrome
• Opera
• Filezilla
• Skype

その他

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• .386
• .a
• .accda
• .accdb
• .accdc
• .accde
• .accdr
• .accdt
• .accdu
• .acl
• .ade
• .adn
• .adp
• .ai
• .aif
• .aifc
• .aiff
• .ani
• .ans
• .api
• .aps
• .art
• .asa
• .asc
• .ascx
• .asf
• .asm
• .asmx
• .asp
• .aspx
• .asx
• .au
• .avi
• .aw
• .bas
• .bat
• .bcp
• .bin
• .bkf
• .blg
• .bmp
• .bsc
• .btapp
• .btkey
• .btskin
• .c
• .cab
• .camp
• .cat
• .cc
• .cda
• .cdmp
• .cdx
• .cer
• .cgm
• .chk
• .chm
• .cls
• .cmd
• .cod
• .com
• .config
• .cpl
• .cpp
• .crd
• .crds
• .crl
• .crt
• .crtx
• .cs
• .csa
• .csproj
• .css
• .csv
• .cur
• .cxx
• .dat
• .db
• .dbg
• .dbs
• .dcr
• .dct
• .def
• .der
• .det
• .dib
• .dic
• .dir
• .disco
• .diz
• .dll
• .dl_
• .doc
• .docm
• .docx
• .docxml
• .dos
• .dot
• .dotm
• .dotx
• .dqy
• .drv
• .dsn
• .dsp
• .dsw
• .dtd
• .dwfx
• .dxr
• .easmx
• .edrwx
• .elm
• .emf
• .epf
• .eprtx
• .eps
• .etp
• .evt
• .evtx
• .exc
• .exp
• .ext
• .ex_
• .eyb
• .fad
• .faq
• .fav
• .fdf
• .fdm
• .fif
• .fky
• .fnd
• .fnt
• .fon
• .gadget
• .gcsx
• .gfs
• .ghi
• .gif
• .glk
• .glox
• .gmmp
• .gqsx
• .gra
• .group
• .grp
• .grv
• .gsa
• .gta
• .gz
• .h
• .H1C
• .H1D
• .H1F
• .H1H
• .H1K
• .H1Q
• .H1S
• .H1T
• .H1V
• .H1W
• .hdp
• .hhc
• .hlp
• .hol
• .hpp
• .hqx
• .hta
• .htc
• .htm
• .html
• .htt
• .htw
• .htx
• .hxa
• .hxc
• .hxd
• .hxe
• .hxf
• .hxh
• .hxi
• .hxk
• .hxq
• .hxr
• .hxs
• .hxt
• .hxv
• .hxw
• .hxx
• .i
• .ibc
• .ibq
• .icc
• .icl
• .icm
• .ico
• .ics
• .idl
• .idq
• .ilk
• .imc
• .img
• .inc
• .inf
• .ini
• .inl
• .inv
• .inx
• .in_
• .iqy
• .iso
• .IVF
• .jar
• .jav
• .java
• .jbf
• .jfif
• .jnlp
• .jnt
• .Job
• .jod
• .jpe
• .jpeg
• .jpg
• .js
• .JSE
• .jtp
• .jtx
• .kci
• .label
• .laccdb
• .latex
• .ldb
• .lex
• .lgn
• .lib
• .lnk
• .local
• .log
• .lst
• .m14
• .m1v
• .m3u
• .m4a
• .mad
• .maf
• .mag
• .mak
• .mam
• .man
• .maq
• .mar
• .mas
• .mat
• .mau
• .mav
• .maw
• .mda
• .mdb
• .mde
• .mdn
• .mdt
• .mdw
• .mgc
• .mht
• .mhtml
• .mid
• .midi
• .mig
• .mk
• .mlc
• .mmf
• .mml
• .mmw
• .mov
• .movie
• .mp2
• .mp2v
• .mp3
• .mpa
• .mpe
• .mpeg
• .mpf
• .mpg
• .mpv2
• .msc
• .msg
• .msi
• .msp
• .msu
• .mv
• .mydocs
• .ncb
• .nfo
• .nick
• .nk2
• .nls
• .nvr
• .obj
• .ocx
• .oc_
• .odc
• .odh
• .odl
• .odt
• .ofs
• .oft
• .ols
• .one
• .onepkg
• .onetoc
• .opc
• .oqy
• .osdx
• .ost
• .otf
• .otm
• .p10
• .p12
• .p7b
• .p7c
• .p7m
• .p7r
• .p7s
• .pab
• .pbk
• .pcb
• .pch
• .pdb
• .pdf
• .pdfxml
• .pds
• .pdx
• .pfm
• .pfx
• .php3
• .pic
• .pif
• .pip
• .pko
• .pl
• .plg
• .pls
• .pma
• .pmc
• .pml
• .pmr
• .pnf
• .png
• .pot
• .potm
• .potx
• .ppa
• .ppam
• .pps
• .ppsm
• .ppsx
• .ppt
• .pptm
• .pptx
• .pptxml
• .prc
• .prf
• .ps
• .ps1
• .ps1xml
• .psc1
• .psd
• .psd1
• .psm1
• .pst
• .pub
• .pwz
• .py
• .pyc
• .pyo
• .pys
• .pyw
• .qds
• .rat
• .rc
• .rc2
• .rct
• .RDP
• .reg
• .rels
• .res
• .rgs
• .rle
• .rll
• .rmi
• .rpc
• .rqy
• .rsp
• .rtf
• .rul
• .rwz
• .s
• .sbr
• .sc2
• .scc
• .scd
• .scf
• .sch
• .scp
• .scr
• .sct
• .sdl
• .sed
• .shtm
• .shtml
• .sit
• .sldm
• .sldx
• .slk
• .snd
• .sol
• .sor
• .spc
• .sql
• .srf
• .sr_
• .sst
• .stl
• .stm
• .swf
• .sym
• .sys
• .sy_
• .tab
• .tar
• .tdl
• .text
• .tgz
• .theme
• .thmx
• .tif
• .tiff
• .tlb
• .tlh
• .tli
• .trg
• .tsp
• .tsv
• .ttc
• .ttf
• .txt
• .udf
• .UDL
• .udt
• .URL
• .user
• .usr
• .uxdc
• .vb
• .VBE
• .vbproj
• .vbs
• .vbx
• .vcf
• .vcg
• .vcproj
• .vcs
• .vdx
• .viw
• .vsd
• .vspscc
• .vss
• .vsscc
• .vssscc
• .vst
• .vsx
• .vtx
• .vxd
• .wab
• .wav
• .wax
• .wbcat
• .wbk
• .wcx
• .wdp
• .webp
• .webpnp
• .wiz
• .wll
• .wlt
• .wm
• .wma
• .wmf
• .wmp
• .wmv
• .wmx
• .wmz
• .wpl
• .wps
• .wpt
• .wri
• .wsc
• .wsdl
• .WSF
• .WSH
• .wsz
• .wtf
• .wtx
• .wvx
• .x
• .xaml
• .xbap
• .xdp
• .xdr
• .xfdf
• .xht
• .xhtml
• .xix
• .xla
• .xlam
• .xlb
• .xlc
• .xlk
• .xll
• .xlm
• .xls
• .xlsb
• .xlsm
• .xlsx
• .xlt
• .xltm
• .xltx
• .xlw
• .xlxml
• .xml
• .xps
• .xrm-ms
• .xsd
• .xsf
• .xsl
• .xslt
• .xsn
• .xst
• .xtp
• .z
• .z96
• .zip

マルウェアは、以下のファイル名を使用し、暗号化されたファイルを改称します。

• Lock.{original filename and extension}