RANSOM_POGOTEAR.A

■ ランサムウェアファイル復号ツール公開

ランサムウェアの脅威が世界的に深刻になっている状況を受けて、ランサムウェアによって暗号化されたファイルの復号ツールをトレンドマイクロは公開しました。この復号ツールの使用方法や復号可能なファイルの条件などの制限事項については以下のダウンロードページを参照してください。

法人向けダウンロードURL：http://esupport.trendmicro.com/solution/ja-JP/1114224.aspx

個人向けダウンロードURL：https://esupport.trendmicro.com/support/vb/solution/ja-jp/1114210.aspx

また、トレンドマイクロでは、ランサムウェアの被害に遭われている法人・個人を対象に無料相談窓口も開設していますので、お困りの方は一度ご相談ください。

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

このランサムウェアは、「Pokémon GO」を利用して自身の正体を隠ぺいしていると考えられます。このランサムウェアは、リムーバブルドライブ内に“PokemonGo.exe”のファイル名で自身のコピーを拡散します。また、共有フォルダおよび割り当てられたネットワークドライブ内に自身のコピーを“PokemonGo.exe”のファイル名で作成します。

マルウェアは、リムーバブルドライブを介してコンピュータに侵入します。 マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、リムーバブルドライブを介してコンピュータに侵入します。

マルウェアは、ネットワーク共有フォルダを経由してコンピュータに侵入します。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• C:\Users\{username}\Desktop\هام جدا.txt -> ransom note
• C:\Users\{username}\Desktop\pk -> key
• %User Startup%\{random characters}.exe -> (to be detected as Ransom_POGOTEAR.A)

(註：%User Startup%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" 、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、" C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。.)

マルウェアは、身代金を要求する手紙として、テキストファイルを作成します。このテキストファイルは以下の内容を含んでいます。

• (: لقد تم تشفير ملفاتكم، لفك الشفرة فلكسي موبيليس للعنوان التالي me.{BLOCKED}20152015@mt2015.com وشكرا على كرمكم مسبقا

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
PokemonGo = "{Malware file path and file name}"

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon\
SpecialAccounts\UserList
Hack3r = "0"

感染活動

マルウェアは、以下のドライブ内に自身のコピーを作成します。

• {Destination Root*}\PokemonGo.exe
  • All fixed drives, removable drives, shared folders and mapped network drives

マルウェアは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

上記INFファイルには、以下の文字列が含まれています。

[AutoRun]
OPEN=PokemonGo.exe
ICON=PokemonGo.exe

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• SMΔRTP

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}.{BLOCKED}.0.169/PokemonGo/write.php?info={computername}-{username} {key}<br>

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• .txt
• .rtf
• .doc
• .pdf
• .mht
• .docx
• .xls
• .xlsx
• .ppt
• .pptx
• .odt
• .jpg
• .png
• .csv
• .sql
• .mdb
• .sln
• .php
• .asp
• .aspx
• .html
• .xml
• .psd
• .htm
• .gif
• .png

マルウェアは、以下のファイル名を使用し、暗号化されたファイルを改称します。

• {original file name and file extension}.locked

マルウェアが作成する以下のファイルは、脅迫状です。

• C:\Users\{username}\Desktop\هام جدا.txt

マルウェアが作成する以下のファイルは、暗号化キーです。

• C:\Users\{username}\Desktop\pk

マルウェアが作成する以下のファイルは、「Ransom_POGOTEAR.A」として検出されます。

• %User Startup%\{random characters}.exe

マルウェアは、以下のドライブ内に自身のコピーを作成します。

• {Destination Root*}\PokemonGo.exe
  • 全ての固定ドライブ、リムーバブルドライブ、共有フォルダおよび割り当てられたネットワークドライブ

マルウェアは、リムーバブルドライブにのみ”AUTORUN.INF”を作成します。

マルウェアは、以下の認証情報で管理者レベルのユーザを作成します。

• ユーザ名: Hack3r
• パスワード: Hack3r

マルウェアは、以下の画像でPCの画面をロックします。