RANSOM_WALTRIX.BFZ
Ransom:Win32/Exxroute (Microsoft), Trojan-Ransom.Win32.CryptXXX.ask (Kaspersky)
Windows
![](/vinfo/imgFiles/JPlegend.jpg)
マルウェアタイプ:
トロイの木馬型
破壊活動の有無:
なし
暗号化:
はい
感染報告の有無 :
はい
概要
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
詳細
侵入方法
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
インストール
マルウェアは、以下のファイルを作成します。
- %User Startup%\@{unique ID}{random character 1}.lnk - component that automatically opens the image ransom note upon system startup
- %User Startup%\@{unique ID}{random character 2}.lnk - component that automatically opens the HTML ransom note upon system startup
where {unique ID} contains 12 hexadecimal characters - %ProgramData%\Z - deleted afterwards. This contains the installation date of the malware
- %ProgramData%\@{unique ID}.cfg - deleted afterwards
- %ProgramData%\@{unique ID}.bmp - lockscreen image
- %ProgramData%\@{unique ID}.html - ransom note
- %Application Data%\Microsoft\Windows\Network Shortcuts\@{unique ID}.bmp - ransom image
- %Application Data%\Microsoft\Windows\Network Shortcuts\@{unique ID}.html - ransom note
- %Application Data%\Microsoft\Windows\Network Shortcuts\@{unique ID}.txt - ransom note
- {folders containing encrypted files}\@{unique ID}.html - ransom note
- {folders containing encrypted files}\@{unique ID}.txt - ransom note
(註:%User Startup%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\<ユーザ名>\Start Menu\Programs\Startup" 、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、" C:\Users\<ユーザ名>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。.. %ProgramData%フォルダは、Windows Vista および 7 の場合、通常、"C:\ProgramData"、Windows 2000、XP (32ビット)、Server 2003 の場合、"C:\Program Files"、Windows XP (64ビット) の場合、"C:\Program Files (x86)" です。. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\<ユーザ名>\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\<ユーザ名>\AppData\Roaming" です。.)
マルウェアは、以下のプロセスを追加します。
- %Sytem%\rundll32.exe {malware path and filename}.dll,MSX{number}
自動実行方法
マルウェアは、Windows起動時に自動実行されるよう<User Startup>フォルダ内に以下のファイルを作成します。
- %User Startup%\@{unique ID}.lnk
where {unique ID} contains 12 hexadecimal characters
(註:%User Startup%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\<ユーザ名>\Start Menu\Programs\Startup" 、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、" C:\Users\<ユーザ名>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。.)
他のシステム変更
マルウェアは、以下のファイルを改変します。
- It encrypts files and appends the extension .AAA07
プロセスの終了
マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。
- cmd.exe
- taskmgr.exe
- msconfig.exe
- WerFault.exe
その他
マルウェアは、以下の拡張子をもつファイルを暗号化します。
- .LYT
- .LYX
- .M
- .M3D
- .M3U
- .M4A
- .M4V
- .MA
- .MAC
- .MAN
- .MAP
- .MAQ
- .MAT
- .MAX
- .MB
- .MBM
- .MBOX
- .MDB
- .MDF
- .MDN
- .MDT
- .ME
- .MEF
- .MELL
- .MFD
- .MFT
- .MGCB
- .MGMT
- .MGMX
- .MID
- .MIN
- .MKV
- .MMAT
- .MML
- .MNG
- .MNR
- .MNT
- .MOBI
- .MOS
- .MOV
- .MP3
- .MP4
- .MPA
- .MPF
- .MPG
- .MPO
- .MRG
- .MRXS
- .MS11
- .MSG
- .MSI
- .MT9
- .MUD
- .MWB
- .MWP
- .MXL
- .MYD
- .MYI
- .MYL
- .NCR
- .NCT
- .NDF
- .NEF
- .NFO
- .NJX
- .NLM
- .NOTE
- .NOW
- .NRW
- .NS2
- .NS3
- .NS4
- .NSF
- .NV2
- .NYF
- .NZB
- .OBJ
- .OC3
- .OC4
- .OC5
- .OCE
- .OCI
- .OCR
- .ODB
- .ODG
- .ODM
- .ODO
- .ODP
- .ODS
- .ODT
- .OFL
- .OFT
- .OMF
- .OPLC
- .OQY
- .ORA
- .ORF
- .ORT
- .ORX
- .OTA
- .OTG
- .OTI
- .OTP
- .OTS
- .OTT
- .OVP
- .OVR
- .OWC
- .OWG
- .OYX
- .OZB
- .OZJ
- .OZT
- .P12
- .P7S
- .P96
- .P97
- .PAGES
- .PAL
- .PAN
- .PANO
- .PAP
- .PAQ
- .PAS
- .PB
- .PBM
- .PC1
- .PC2
- .PC3
- .PCD
- .PCS
- .PCT
- .PCX
- .PDB
- .PDD
- .PDM
- .PDN
- .PDS
- .PDT
- .PE4
- .RT
- .RTD
- .RTF
- .RTX
- .RUN
- .RW2
- .RWL
- .RZK
- .RZN
- .S2MV
- .S3M
- .SAF
- .SAI
- .SAM
- .SAVE
- .SBF
- .SCAD
- .SCC
- .SCH
- .SCI
- .SCM
- .SCT
- .SCV
- .SCW
- .SDB
- .SDF
- .SDM
- .SDOC
- .SDW
- .SEP
- .SFC
- .SFW
- .SGM
- .SH
- .SIG
- .SITX
- .SK1
- .SK2
- .SKM
- .SLA
- .SLD
- .SLDX
- .SLK
- .SLN
- .SLS
- .SMF
- .SMIL
- .SMS
- .SOB
- .SPA
- .SPE
- .SPH
- .SPJ
- .SPP
- .SPQ
- .SPR
- .SQB
- .SQL
- .SQLITE3
- .SQLITEDB
- .SR2
- .SRT
- .SRW
- .SSA
- .SSK
- .ST
- .STC
- .STD
- .STE
- .STI
- .STM
- .STN
- .STP
- .STR
- .STW
- .STY
- .SUB
- .SUMO
- .SVA
- .SVF
- .SVG
- .SVGZ
- .SWF
- .SXC
- .SXD
- .SXG
- .SXI
- .SXM
- .SXW
- .T2B
- .TAB
- .TAR
- .TB0
- .TBK
- .TBN
- .TCX
- .TDF
- .TDT
- .TE
- .TEX
- .TEXT
- .TF
- .TFC
- .TG4
- .TGA
- .TGZ
- .THM
- .THP
- .TIF
- .TIFF
- .TJP
- .TLB
- .TLC
- .TM
- .TM2
- .TMD
- .TMP
- .TMV
- .TMX
- .TN
- .TNE
- .TPC
- .TPI
- .TRM
- .TVJ
- .TXT
- .U3D
- .U3I
- .UDB
- .UFO
- .UFR
- .UGA
- .UNX
- .UOF
- .UOP
- .UOT
- .UPD
- .USR
- .UTF8
- .UTXT
- .V12
- .VB
- .VBR
- .VBS
- .VCF
- .VCT
- .VCXPROJ
- .VDA
- .VDB
- .VDI
- .VEC
- .VFF
- .VMDK
- .VML
- .VMX
- .VNT
- .VOB
- .VPD
- .VPE
- .VRML
- .VRP
- .VSD
- .VSDM
- .VSDX
- .VSM
- .VST
- .VSTX
- .VUE
- .VW
- .WAV
- .WB1
- .WBC
- .WBD
- .WBK
- .WBM
- .WBMP
- .WBZ
- .WCF
- .WDB
- .WDP
- .WEBP
- .WGZ
- .WIRE
- .WKS
- .WMA
- .WMDB
- .WMF
- .WMV
- .WN
- .WP
- .WP4
- .WP5
- .WP6
- .WP7
- .WPA
- .WPD
- .WPE
- .WPG
- .WPL
- .WPS
- .WPT
- .WPW
- .WRI
- .WSC
- .WSD
- .WSF
- .WSH
- .WTX
- .WVL
- .X3D
- .X3F
- .XAR
- .XCODEPROJ
- .XDB
- .XDL
- .XHTM
- .XHTML
- .XLC
- .XLD
- .XLF
- .XLGC
- .XLM
- .XLR
- .XLS
- .XLSB
- .XLSM
- .XLSX
- .XLT
- .XLTM
- .XLTX
- .XLW
- .XML
- .XPM
- .XPS
- .XWP
- .XY3
- .XYP
- .XYW
- .YAL
- .YBK
- .YML
- .YSP
- .YUV
- .3DM
- .3DS
- .3G2
- .3GP
- .4DB
- .4DL
- .4MP
- .7Z
- .A3D
- .ABM
- .ABS
- .ABW
- .ACCDB
- .ACT
- .ADN
- .ADP
- .AES
- .AF2
- .AF3
- .AFT
- .AFX
- .AGIF
- .AGP
- .AHD
- .AI
- .AIC
- .AIF
- .AIM
- .ALBM
- .ALF
- .ANI
- .ANS
- .APD
- .APK
- .APM
- .APNG
- .APP
- .APS
- .APT
- .APX
- .ARC
- .ART
- .ARW
- .ASC
- .ASE
- .ASF
- .ASK
- .ASM
- .ASP
- .ASPX
- .ASW
- .ASX
- .ASY
- .ATY
- .AVI
- .AWDB
- .AWP
- .AWT
- .AWW
- .AZZ
- .BAD
- .BAY
- .BBS
- .BDB
- .BDP
- .BDR
- .BEAN
- .BIB
- .BM2
- .BMP
- .BMX
- .BNA
- .BND
- .BOC
- .BOK
- .BRD
- .BRK
- .BRN
- .BRT
- .BSS
- .BTD
- .BTI
- .BTR
- .BZ2
- .C
- .C2
- .C4
- .C4D
- .CAL
- .CALS
- .CAN
- .CD5
- .CDB
- .CDC
- .CDG
- .CDMM
- .CDMT
- .CDR
- .CDR3
- .CDR4
- .CDR6
- .CDT
- .CER
- .CF
- .CFG
- .CFM
- .CFU
- .CGI
- .CGM
- .CIMG
- .CIN
- .CIT
- .CKP
- .CLASS
- .CLKW
- .CMA
- .CMD
- .CMX
- .CNM
- .CNV
- .COLZ
- .CPC
- .CPD
- .CPG
- .CPP
- .CPS
- .CPT
- .CPX
- .CRD
- .CRT
- .CRWL
- .CRYPT
- .CS
- .CSR
- .CSS
- .CSV
- .CSY
- .CUE
- .CV5
- .CVG
- .CVI
- .CVS
- .CVX
- .CWT
- .CXF
- .CYI
- .DAD
- .DAF
- .DB
- .DB3
- .DBF
- .DBK
- .DBT
- .DBV
- .DBX
- .DCA
- .DCB
- .DCH
- .DCS
- .DCT
- .DCU
- .DCX
- .DDL
- .DDOC
- .DDS
- .DED
- .DF1
- .DG
- .DGN
- .DGS
- .DHS
- .DIB
- .DIF
- .DIP
- .DIZ
- .DJV
- .DJVU
- .DM3
- .DMI
- .DMO
- .DNC
- .DNE
- .DOC
- .DOCB
- .DOCM
- .DOCX
- .DOCZ
- .DOT
- .DOTM
- .DOTX
- .DP1
- .DPP
- .DPX
- .DQY
- .DRW
- .DRZ
- .DSK
- .DSN
- .DSV
- .DT
- .DT2
- .DTA
- .DTD
- .DTSX
- .DTW
- .DVI
- .DVL
- .DWG
- .DX
- .DXB
- .DXF
- .DXL
- .ECO
- .ECW
- .ECX
- .EDB
- .EFD
- .EGC
- .EIO
- .EIP
- .EIT
- .EMD
- .EMF
- .EML
- .EMLX
- .EP
- .EPF
- .EPP
- .EPS
- .EPSF
- .EQL
- .ERF
- .ERR
- .ETF
- .ETX
- .EUC
- .EXR
- .FAL
- .FAQ
- .FAX
- .FB2
- .FB3
- .FBL
- .FBX
- .FCD
- .FCF
- .FDB
- .FDF
- .FDR
- .FDS
- .FDT
- .FDX
- .FDXT
- .FES
- .FFT
- .FH10
- .FH11
- .FH3
- .FH4
- .FH5
- .FH6
- .FH7
- .FH8
- .FIC
- .FID
- .FIF
- .FIG
- .FIL
- .FL
- .FLA
- .FLI
- .FLR
- .FLV
- .FM5
- .FMV
- .FODT
- .FOL
- .FP3
- .FP4
- .FP5
- .FP7
- .FPOS
- .FPT
- .FPX
- .FRM
- .FRT
- .FT10
- .FT11
- .FT7
- .FT8
- .FT9
- .FTN
- .FWDN
- .FXC
- .FXG
- .FZB
- .FZV
- .GADGET
- .GBK
- .GBR
- .GCDP
- .GDB
- .GDOC
- .GED
- .GEM
- .GEO
- .GFB
- .GGR
- .GIF
- .GIH
- .GIM
- .GIO
- .GLOX
- .GPD
- .GPG
- .GPN
- .GPX
- .GRO
- .GROB
- .GRS
- .GSD
- .GTHR
- .GTP
- .GV
- .GWI
- .GZ
- .H
- .HBK
- .HDB
- .HDP
- .HDR
- .HHT
- .HIS
- .HPG
- .HPGL
- .HPI
- .HPL
- .HS
- .HTC
- .HTM
- .HTML
- .HWP
- .HZ
- .I3D
- .IB
- .IBD
- .IBOOKS
- .ICN
- .ICON
- .IDC
- .IDEA
- .IDX
- .IFF
- .IGT
- .IGX
- .IHX
- .IIL
- .IIQ
- .IMD
- .INDD
- .INFO
- .INK
- .IPF
- .IPX
- .ITDB
- .ITW
- .IWI
- .J2C
- .J2K
- .JAR
- .JAS
- .JAVA
- .JB2
- .JBMP
- .JBR
- .JFIF
- .JIA
- .JIS
- .JKS
- .JNG
- .JOE
- .JP1
- .JP2
- .JPE
- .JPEG
- .JPG
- .JPG2
- .JPS
- .JPX
- .JRTF
- .JS
- .JSP
- .JTX
- .JWL
- .JXR
- .KDB
- .KDBX
- .KDC
- .KDI
- .KDK
- .KES
- .KEY
- .KIC
- .KLG
- .KML
- .KMZ
- .KNT
- .KON
- .KPG
- .KWD
- .LAY
- .LAY6
- .LBM
- .LBT
- .LDF
- .LGC
- .LIS
- .LIT
- .LJP
- .LMK
- .LNT
- .LP2
- .LRC
- .LST
- .LTR
- .LTX
- .LUA
- .LUE
- .LUF
- .LWO
- .LWP
- .LWS
- .Z3D
- .ZABW
- .ZDB
- .ZDC
- .ZIF
- .ZIP
- .ZIPX
- .ZW
対応方法
手順 1
Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 2
このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム(OS)の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル/フォルダ/レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。
手順 3
Windowsをセーフモードで再起動します。
手順 4
以下のファイルを検索し削除します。
- %User Startup%\@{unique ID}.lnk
- %User Startup%\@{unique ID}{random character 1}.lnk
- %User Startup%\@{unique ID}{random character 2}.lnk
- @{unique ID}.bmp
- @{unique ID}.html
- @{unique ID}.txt
手順 5
コンピュータを通常モードで再起動し、最新のバージョン(エンジン、パターンファイル)を導入したウイルス対策製品を用い、「RANSOM_WALTRIX.BFZ」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
手順 6
最新のバージョン(エンジン、パターンファイル)を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「RANSOM_WALTRIX.BFZ」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
ご利用はいかがでしたか? アンケートにご協力ください