• Email
• Facebook
• Twitter
• Google+
• Linkedin

Ransom.AutoIt.ISHTAR.A

---

• マルウェアタイプ: 身代金要求型不正プログラム（ランサムウェア）
• 破壊活動の有無: なし
• 暗号化: はい
• 感染報告の有無: はい

---

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、Ｅメールアカウント情報を収集します。 マルウェアは、感染コンピュータから特定の情報を収集します。

特定のファイル拡張子を持つファイルを暗号化します。 身代金要求文書のファイルを作成します。

---

  詳細

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %Application Data%\{5-12 Random Alphanumeric Characters}.exe

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のファイルを作成します。

• %Desktop%\{Malware File Name}.docx → Contains the generated 5-12 random alphanumeric characters
• %Application Data%\ISHTAR.DATA → Contains a generated key
• {Drive Letter}:\ISHTAR.DATA → Contains a generated key

(註：%Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\Desktop" です。. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のファイルを作成し実行します。

• %Application Data%\{5-12 Random Alphanumeric Characters}.tmp → Contains the decrypted payload

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のプロセスを追加します。

• %System%\cmd.exe /c "%Desktop%\{Malware File Name}.docx"
• %Application Data%\{5-12 Random Alphanumeric Characters}.exe
• %System%\cmd.exe /c ping -n 1 localhost > nul & del /f /q "{Malware File Path}\{Malware File Name}.exe"
• "%Application Data%\{5-12 Random Alphanumeric Characters}.exe" /AutoIt3ExecuteScript "%Application Data%\{5-12 Random Alphanumeric Characters}.tmp
• %System%\cmd.exe /c whoami /all
• "%System%\eventvwr.exe"
• "%System%\cmd.exe /c vssadmin delete shadows /all /quiet

(註：%Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\Desktop" です。. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
(Default) = %Application Data%\{5-12 Random Alphanumeric Characters}.exe

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Classes\
mscfile\shell\open\
command
(Default) = %System%\cmd.exe /c vssadmin delete shadows /all /quiet

HKEY_CURRENT_USER\Software\Ishtr 1.0
Eop = Success

HKEY_CURRENT_USER\Software\Ishtr 1.0
Start = Success

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• Taskmgr.exe

情報漏えい

マルウェアは、Ｅメールアカウント情報を収集します。

マルウェアは、感染コンピュータから以下の情報を収集します。

• Security Identifier (SID)
• Product Name
• Computer Name
• Architecture

マルウェアは、以下のブラウザから、ユーザ名、パスワードやホスト名といった保存された情報を収集します。

• Internet Explorer
• Mozilla Firefox
• Google Chrome
• Safari
• Opera
• SeaMonkey
• Chromium
• Yandex
• Vivaldi

情報収集

マルウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://{BLOCKED}.{BLOCKED}.{BLOCKED}.176/pw/gate.php

その他

マルウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• www.google.com
• http://{BLOCKED}t.ly/2rgCJiT

マルウェアは、以下を実行します。

• It executes then deletes itself afterwards.
• It disables the user's mouse and keyboard.
• It is capable of locking the screen of the affected system.
• It displays the following GUI after it locks the screen:
  

ランサムウェアの不正活動

以下の拡張子を持つファイルを暗号化します：$$ DATA $$

• .7z
• .rar
• .zip
• .m4a
• .wma
• .avi
• .wmv
• .csv
• .d3dbsp
• .sc2save
• .sie
• .sum
• .ibank
• .t13
• .t12
• .qdf
• .gdb
• .tax
• .pkpass
• .bc6
• .bc7
• .bkp
• .qic
• .bkf
• .sidn
• .sidd
• .mddata
• .itl
• .itdb
• .icxs
• .hvpl
• .hplg
• .hkdb
• .mdbackup
• .syncdb
• .gho
• .cas
• .svg
• .map
• .wmo
• .itm
• .sb
• .fos
• .mcgame
• .vdf
• .ztmp
• .sis
• .sid
• .ncf
• .menu
• .layout
• .dmp
• .blob
• .esm
• .001
• .vtf
• .dazip
• .fpk
• .mlx
• .kf
• .iwd
• .vpk
• .tor
• .psk
• .rim
• .w3x
• .fsh
• .ntl
• .arch00
• .lvl
• .snx
• .cfr
• .ff
• .vpp_pc
• .lrf
• .m2
• .mcmeta
• .vfs0
• .mpqge
• .kdb
• .db0
• .DayZProfile
• .rofl
• .hkx
• .bar
• .upk
• .das
• .iwi
• .litemod
• .asset
• .forge
• .ltx
• .bsa
• .apk
• .re4
• .sav
• .lbf
• .slm
• .bik
• .epk
• .rgss3a
• .pak
• .big
• .unity3d
• .wotreplay
• .xxx
• .desc
• .py
• .m3u
• .flv
• .js
• .css
• .rb
• .png
• .jpeg
• .txt
• .p7c
• .p7b
• .p12
• .pfx
• .pem
• .crt
• .cer
• .der
• .x3f
• .srw
• .pef
• .ptx
• .r3d
• .rw2
• .rwl
• .raw
• .raf
• .orf
• .nrw
• .mrwref
• .mef
• .erf
• .kdc
• .dcr
• .cr2
• .crw
• .bay
• .sr2
• .srf
• .arw
• .3fr
• .dng
• .jpg
• .cdr
• .indd
• .ai
• .eps
• .pdf
• .pdd
• .psd
• .dbfv
• .mdf
• .wb2
• .rtf
• .wpd
• .dxg
• .xf
• .dwg
• .pst
• .accdb
• .mdb
• .pptm
• .pptx
• .ppt
• .xlk
• .xlsb
• .xlsm
• .xlsx
• .xls
• .wps
• .docm
• .docx
• .doc
• .odb
• .odc
• .odm
• .odp
• .ods
• .odt

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• $
• ~
• ISHTAR

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• $
• ~
• WINDOWS
• Windows
• RECYCLER
• Program Files
• Program Files (x86)
• TEMP
• APPDATA
• AppData
• Temp
• ProgramData
• Microsoft

マルウェアが作成する以下のファイルは、脅迫状です。

• %Application Data%\README-ISHTAR.txt
• {Drive Letter}:\README-ISHTAR.txt
  

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください