Ransom.FreeBSD.INTERLOCK.THJBBBD

2024年11月25日

解析者: Neljorn Nathaniel Aguas

別名:

Ransom:Linux/Interlock.A (MICROSOFT)

プラットフォーム:

FreeBSD

危険度:

ダメージ度:

感染力:

感染確認数:

情報漏えい:

マルウェアタイプ: 身代金要求型不正プログラム（ランサムウェア）
破壊活動の有無: なし
暗号化: なし
感染報告の有無: はい

概要

感染経路他のマルウェアからの作成, インターネットからのダウンロード

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。以下のファイル拡張子を持つファイルは暗号化しません。

詳細

ファイルサイズ 808,240 bytes

タイプ ELF

メモリ常駐なし

発見日 2024年10月10日

ペイロードファイルの暗号化

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

その他

マルウェアは、以下のパラメータを受け取ります。

-d | --directory → encrypts a specified directory including its subdirectories
-f | --file → encrypts a specified file
-del | --delete → encrypts files then deletes itself using unlink() system call
-s | --system

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

{Any String}boot.cfg
{Any String}!__README__!.txt

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

bin
boot
cdrom
dev
etc
home
lib
lib32
lib64
libx32
lost+found
media
mnt
opt
proc
root
run
sbin
snap
srv
sys
tmp
usr
var

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

.interlock

マルウェアが作成する以下のファイルは、脅迫状です。

{Encrypted Path}/!__README__!.txt

以下のファイル拡張子を持つファイルについては暗号化しません：

.b00
.sf
.t00
.v00
.v01
.v02
.v03
.v04
.v05
.v06
.v07
.interlock

<補足>
その他

マルウェアは、以下のパラメータを受け取ります。

-d | --directory → 指定されたディレクトリおよびそのサブディレクトリを暗号化する
-f | --file → 指定されたファイルを暗号化する
-del | --delete → ファイルを暗号化し、unlink()システムコールを使用して自身を削除する
-s | --system

対応方法

対応検索エンジン: 9.800

初回 VSAPI パターンバージョン 19.700.06

初回 VSAPI パターンリリース日 2024年11月7日

VSAPI OPR パターンバージョン 19.701.00

VSAPI OPR パターンリリース日 2024年11月8日

手順 1

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「Ransom.FreeBSD.INTERLOCK.THJBBBD」と検出したファイルはすべて削除してください。検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

手順 2

暗号化されたファイルをバックアップから復元します。

ご利用はいかがでしたか？　アンケートにご協力ください