Ransom.Linux.PLAYDE.YXEE3T
Linux
- マルウェアタイプ: 身代金要求型不正プログラム（ランサムウェア）
- 破壊活動の有無: なし
- 暗号化: なし
- 感染報告の有無: はい
概要
トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
マルウェアは、ワーム活動の機能を備えていません。
身代金要求文書のファイルを作成します。
詳細
侵入方法
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
感染活動
マルウェアは、ワーム活動の機能を備えていません。
その他
マルウェアは、以下を実行します。
- It runs ESXi-related commands to check that it is running in an ESXi environment
- If the sample is not running inside an ESXi environment, it will terminate and delete itself
- Once the ransomware runs in an ESXi environment, it will turn off any virtual machine and proceed on the encryption of VM files (VM disk, configuration, and metadata files)
マルウェアは、以下のパラメータを受け取ります。
- -p → Execute normal functionality. Same as no command-line argument.
- -f → Encrypt a specific drive
- -s → Encrypt network shared resource
- -e → Encrypt a specific folder/file
ランサムウェアの不正活動
マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。
- .PLAY
マルウェアが作成する以下のファイルは、脅迫状です。
- {Root Directory}\PLAY_Readme.txt
<補足>
その他
マルウェアは、以下を実行します。
- ESXi関連のコマンドを実行して、ESXi環境内で実行されていることを確認します。
- ESXi環境内で実行されていない場合は、不正活動を終了して自身を削除します。
- ESXi環境内で実行されると、すべての仮想マシンをオフにし、仮想マシン（VM）ファイル（仮想ディスクファイル、構成ファイル、メタデータファイル）の暗号化を継続します。
マルウェアは、以下のパラメータを受け取ります。
- -p → 通常の機能を実行する（コマンドライン引数がない場合と同じ）
- -f → 特定のドライブを暗号化する
- -s → ネットワーク上の共有リソースを暗号化する
- -e → 特定のフォルダ/ファイルを暗号化する
対応方法
手順 1
このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。
手順 2
以下のファイルを検索し削除します。
- {Root Directory}\PLAY_Readme.txt
手順 3
最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「Ransom.Linux.PLAYDE.YXEE3T」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
ご利用はいかがでしたか？ アンケートにご協力ください