Ransom.MSIL.HARDBIT.THAODBC

2023年9月25日

解析者: Francesca Villasanta

別名:

UDS:Trojan.MSIL.DelShad.gen (KASPERSKY) ; Ransom:Win32/Hardbit!MTB (MICROSOFT)

プラットフォーム:

Windows

危険度:

ダメージ度:

感染力:

感染確認数:

情報漏えい:

マルウェアタイプ: 身代金要求型不正プログラム（ランサムウェア）
破壊活動の有無: なし
暗号化:
感染報告の有無: はい

概要

感染経路インターネットからのダウンロード, 他のマルウェアからの作成

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。以下のファイル拡張子を持つファイルは暗号化しません。

詳細

ファイルサイズ 340,993 bytes

タイプ EXE

メモリ常駐なし

発見日 2022年12月23日

ペイロードシステム情報の収集, ファイルの暗号化, 画像の表示, メッセージボックスの表示, システムのレジストリの変更, プロセスの強制終了

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

%User Profile%\DOCUMENTS\hrdb.ico → icon used for all encrypted files
%Desktop%\HARDBIT.jpg → image used as system wallpaper after encryption
%User Temp%\lsm.exe → detected as TROJ_GEN.R002H09HJ23
%User Temp%\is64.txt → identifies the OS architecture
%User Temp%\is64.bat
%User Temp%\is64.fil → contains the path to the 64-bit cmd.exe

(註：%User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。. %Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\Desktop" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のプロセスを追加します。

cmd.exe /C sc delete VSS
cmd.exe /C wbadmin delete catalog -quiet
cmd.exe /C vssadmin delete shadows /all /quiet & wmic shadowcopy deletee
cmd.exe /C bcdedit /set {default} bootstatuspolicy ignoreallfailures & bcdedit /set {default} recoveryenabled no
"powershell" Get-MpPreference -verbose
net.exe stop avpsus /y
net.exe stop McAfeeDLPAgentService /y
net.exe stop mfewc /y
net.exe stop BMR Boot Service /y
net.exe stop NetBackup BMR MTFTP Service /y
net.exe stop DefWatch /y
net.exe stop ccEvtMgr /y
net.exe stop ccSetMgr /y
net.exe stop SavRoam /y
net.exe stop RTVscan /y
net.exe stop QBFCService /y
net.exe stop QBIDPService /y
net.exe stop IntuitQuickBooksFCS /y
net.exe stop QBCFMonitorService /y
net.exe stop YooBackup /y
net.exe stop YooIT /y
net.exe stop zhudongfangyu /y
net.exe stop stc_raw_agent /y
net.exe stop VSNAPVSS /y
net.exe stop VeeamTransportSvc /y
net.exe stop VeeamDeploymentService /y
net.exe stop VeeamNFSSvc /y
net.exe stop veeam /y
net.exe stop PDVFSService /y
net.exe stop BackupExecVSSProvider /y
net.exe stop BackupExecAgentAccelerator /y
net.exe stop BackupExecAgentBrowser /y
net.exe stop BackupExecDiveciMediaService /y
net.exe stop BackupExecJobEngine /y
net.exe stop BackupExecManagementService /y
net.exe stop BackupExecRPCService /y
net.exe stop AcrSch2Svc /y
net.exe stop AcronisAgent /y
net.exe stop CASAD2DWebSvc /y
net.exe stop CAARCUpdateSvc /y
net.exe stop sophos /y
net.exe stop -n apache24
net.exe stop mysql57
net.exe wrapper
net.exe DefWatch
net.exe stop SavRoam /y
net.exe stop Sqlservr /y
net.exe stop sqlagent /y
net.exe stop sqladhlp /y
net.exe stop Culserver /y
net.exe stop sqlbrowser /y
net.exe stop QLADHLP /y
net.exe stop Intuit /y
net.exe stop QuickBooks /y
net.exe stop FCS /y
net.exe stop msmdsrv /y
net.exe stop tomcat6 /y
net.exe stop vmware /y
net.exe stop vmware-converter /y
net.exe stop dbsrv12 /y
net.exe stop dbeng8 /y
net.exe stop MSSQL$MICROSOFT /y
net.exe stop ##WID /y
net.exe stop MSSQL$VEEAMSQL2012 /y
net.exe stop SQLAgent$VEEAMSQL2012 /y
net.exe stop SQLBrowser /y
net.exe stop SQLWriter /y
net.exe stop FishbowlMySQL /y
net.exe stop MySQL57 /y
net.exe stop MSSQL$KAV_CS_ADMIN_KIT /y
net.exe stop MSSQLServerADHelper100 /y!
net.exe stop SQLAgent$KAV_CS_ADMIN_KIT /y
net.exe stop msftesql /y
net.exe stop Exchange /y
net.exe stop MSSQL$MICROSOFT##SSEE /y
net.exe stop MSSQL$SBSMONITORING /y
net.exe stop MSSQL$SHAREPOINT /y
net.exe stop MSSQLFDLauncher$SBSMONITORING /y
net.exe stop SQLAgent$SBSMONITORING /y
net.exe stop SQLAgent$SHAREPOINT /y
net.exe stop QBVSS /y
net.exe stop vss /y
net.exe stop sql /y
net.exe stop svc$ /y
net.exe stop MSSQL /y
net.exe stop MSSQL$ /y
net.exe stop memtas /y
net.exe stop mepocs /y
net.exe stop backup /y
net.exe stop bedbg /y
net.exe stop MVArmor /y
net.exe stop MVarmor64 /y
net.exe stop ARSM /y
net.exe stop WSBExchange /y
net.exe stop MSExchange /y
net.exe stop MSExchange$ /y
%User Temp%\lsm.exe
%User Temp%\is64.bat
"%System%\mshta.exe" "%User Temp%\readme-warning.hta"

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、以下のフォルダを作成します。

%User Temp%\myfiles
%User Temp%\wxy

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_USERS\{SID}_CLASSES\.hardbit2\
DefaultIcon
(Default) = %User Profile%\Documents\hrdb.ico

マルウェアは、インストールの過程で、以下のレジストリキーを追加します。

HKEY_USERS\{SID}_CLASSES\.hardbit2

HKEY_USERS\{SID}_CLASSES\.hardbit2\
DefaultIcon

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows Defender
DisableAntiSpyware = 1

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows Defender\Real-Time Protection
DisableBehaviorMonitoring = 1

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows Defender\Real-Time Protection
DisableOnAccessProtection = 1

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows Defender\Real-Time Protection
DisableScanOnRealtimeEnable = 1

(註：変更前の上記レジストリ値は、「0」となります。)

マルウェアは、以下のレジストリ値を変更し、デスクトップの壁紙を変更します。

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %Desktop%\HARDBIT.jpg

マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。

%Desktop%\HARDBIT.jpg

プロセスの終了

マルウェアは、感染コンピュータ上で確認した以下のサービスを終了します。

avpsus
McAfeeDLPAgentService
mfewc
BMR Boot Service
NetBackup BMR MTFTP Service
DefWatch
ccEvtMgr
ccSetMgr
SavRoam
RTVscan
QBFCService
QBIDPService
IntuitQuickBooksFCS
QBCFMonitorService
YooBackup
YooIT
zhudongfangyu
stc_raw_agent
VSNAPVSS
VeeamTransportSvc
VeeamDeploymentService
VeeamNFSSvc
veeam
PDVFSService
BackupExecVSSProvider
BackupExecAgentAccelerator
BackupExecAgentBrowser
BackupExecDiveciMediaService
BackupExecJobEngine
BackupExecManagementService
BackupExecRPCService
AcrSch2Svc
AcronisAgent
CASAD2DWebSvc
CAARCUpdateSvc
sophos
apache24
mysql57
SavRoam
Sqlservr
sqlagent
sqladhlp
Culserver
sqlbrowser
QLADHLP
Intuit
QuickBooks
FCS
msmdsrv
tomcat6
vmware
vmware-converter
dbsrv12
dbeng8
MSSQL$MICROSOFT
##WID
MSSQL$VEEAMSQL2012
SQLAgent$VEEAMSQL2012
SQLBrowser
SQLWriter
FishbowlMySQL
MySQL57
MSSQL$KAV_CS_ADMIN_KIT
MSSQLServerADHelper100!
SQLAgent$KAV_CS_ADMIN_KIT
msftesql
Exchange
MSSQL$MICROSOFT##SSEE
MSSQL$SBSMONITORING
MSSQL$SHAREPOINT
MSSQLFDLauncher$SBSMONITORING
SQLAgent$SBSMONITORING
SQLAgent$SHAREPOINT
QBVSS
vss
sql
svc$
MSSQL
MSSQL$
memtas
mepocs
backup
bedbg
MVArmor
MVarmor64
ARSM
WSBExchange
MSExchange
MSExchange$

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

360Doctor
360Se
acwebbrowser
ADExplorer
ADExplorer64
ADExplorer64a
Adobe
AdobeCollabSync
AdobeIPCBroker
agntsvc
AutodeskDesktopApp
Autoruns
Autoruns64
Autoruns64a
Autorunsc
Autorunsc64
Autorunsc64a
avz
axlbridge
bedbh
benetns
bengien
beserver
BrCcUxSys
BrCtrlCntr
CagService
calc
CEF
Cloud
CoreSync
Creative
Culture
dbeng50
dbsnmp
Defwatch
DellSystemDetect
dumpcap
encsvc
EnterpriseClient
excel
fbguard
fbserver
fdhost
fdlauncher
firefox
GDscan
GlassWire
GWCtlSrv
Helper
httpd
infopath
InputPersonalization
isqlplussvc
j0gnjko1
java
koaly-exp-engine-service
msaccess
mspub
mydesktopqos
mydesktopservice
mysqld
node
notepad
notepad++
ocautoupds
ocomm
ocssd
onedrive
onenote
ONENOTEM
oracle
outlook
powerpnt
ProcessHacker
Procexp
Procexp64
procexp64a
procmon
procmon64
procmon64a
pvlsvr
QBDBMgr
QBDBMgrN
QBIDPService
qbupdate
QBW32
Raccine
Raccine_x86
RaccineElevatedCfg
RaccineSettings
RAgui
raw_agent_svc
RdrCEF
RTVscan
sam
Service
SimplyConnectionManager
SimplySystemTrayIcon
sqbcoreservice
sqlbrowser
sqlmangr
Sqlservr
Ssms
steam
supervise
sync
synctime
Sysmon
Sysmon64
SystemExplorer
SystemExplorerService
SystemExplorerService64
taskbar
tbirdconfig
tcpview
tcpview64
tcpview64a
tdsskiller
TeamViewer
TeamViewer_Service
thebat
thunderbird
TitanV
tomcat6
Totalcmd
Totalcmd64
tv_w32
tv_x64
VeeamDeploymentSvc
visio
vsnapvss
vss
vxmon
wdswfsafe
winword
WireShark
wordpad
worker
wsa_service
wuauclt
wxServer
wxServerView
xfssvccon
ZhuDongFangYu

情報漏えい

マルウェアは、以下の情報を収集します。

Hardware information (CPU, Disk Drives, Graphics Card, Manufacturer, BIOS)
Network adapter settings (IP configuration, MAC address)
Username
Computer Name
Timezone Information

その他

マルウェアは、以下を実行します。

It changes the encrypted file icon to the following image:
%User Temp%\lsm.exe shows the following message box:

ランサムウェアの不正活動

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

autorun.inf
boot.ini
bootfont.bin
bootsect.bak
d3d9caps.dat
desktop.ini
GDIPFONTCACHEV1.DAT
HARDBIT.jpg
iconcache.db
log
ntldr
ntuser.dat
ntuser.ini
thumbs.db

マルウェアは、以下の名称を利用して暗号化されたファイルのファイル名を改称します。

{10 Random Characters}.[id-{Generated ID}].[godgood55@tutanota.com].hardbit2

マルウェアが作成する以下のファイルは、脅迫状です。

{Encrypted Directory}\How To Restore Your Files.txt
{Encrypted Directory}\Help_me_for_Decrypt.hta
%User Temp%\readme-warning.hta

以下のファイル拡張子を持つファイルについては暗号化しません：

.dll
.exe
.EXE
.lnk
.DLL
.msi
.386
.adv
.ani
.bin
.cab
.cmd
.com
.cpl
.cur
.deskthemepack
.diagcab
.diagcfg
.diagpkg
.drv
.hlp
.hta
.icl
.icns
.ico
.ics
.idx
.key
.lock
.mod
.mpa
.msc
.msp
.msstyles
.msu
.nls
.nomedia
.ocx
.pdb
.prf
.ps1
.rom
.rtp
.scr
.search-ms
.shs
.spl
.sys
.theme
.themepack
.wpx

対応方法

対応検索エンジン: 9.800

初回 VSAPI パターンバージョン 18.174.04

初回 VSAPI パターンリリース日 2023年1月4日

VSAPI OPR パターンバージョン 18.175.00

VSAPI OPR パターンリリース日 2023年1月5日

手順 1

トレンドマイクロの機械学習型検索は、マルウェアの存在を示す兆候が確認された時点で検出し、マルウェアが実行される前にブロックします。機械学習型検索が有効になっている場合、弊社のウイルス対策製品はこのマルウェアを以下の機械学習型検出名として検出します。

TROJ.Win32.TRX.XXPE50FFF065

手順 2

Windows 7、Windows 8、Windows 8.1、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 3

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 4

変更されたレジストリ値を修正します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
事前に意図的に対象の設定を変更していた場合は、意図するオリジナルの設定に戻してください。変更する値が分からない場合は、システム管理者にお尋ねいただき、レジストリの編集はお客様の責任として行なって頂くようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender
DisableAntiSpyware=1
DisableAntiSpyware=0
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection
DisableBehaviorMonitoring=1
DisableBehaviorMonitoring= 0
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection
DisableOnAccessProtection=1
DisableOnAccessProtection= 0
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection
DisableScanOnRealtimeEnable=1
DisableScanOnRealtimeEnable= 0

このマルウェアが変更したレジストリ値の修正：

「レジストリエディタ」を起動します。
- Windows 2000、XP および Server 2003 の場合：
  [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、Enter を押します。
- Windows Vista、7、Server 2008 の場合：
  [スタート]をクリックし、検索入力欄に regedit と入力し、Enter を押します。
- Windows 8、8.1 および Server 2012 の場合：
  画面の左下隅を右クリックし、[ファイル名を指定して実行]を選択します。入力ボックスに regedit と入力し、Enter を押します。
  ※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender
右側のパネルで以下のレジストリ値を検索します。
DisableAntiSpyware = 1
[値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
DisableAntiSpyware = 0
レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection
右側のパネルで以下のレジストリ値を検索します。
DisableBehaviorMonitoring = 1
[値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
DisableBehaviorMonitoring = 0
再び、右側のパネルで以下のレジストリ値を検索します。
DisableOnAccessProtection = 1
[値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
DisableOnAccessProtection = 0
再び、右側のパネルで以下のレジストリ値を検索します。
DisableScanOnRealtimeEnable = 1
[値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
DisableScanOnRealtimeEnable = 0
レジストリエディタを閉じます。

手順 5

以下のレジストリキーを削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。レジストリの編集前にこちらをご参照ください。

In HKEY_USERS\{SID}_CLASSES\.hardbit2

手順 6

以下のファイルを検索し削除します。

[ 詳細 ]

コンポーネントファイルが隠しファイル属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。

{Encrypted Directory}\How To Restore Your Files.txt
{Encrypted Directory}\Help_me_for_Decrypt.hta
%User Temp%\readme-warning.hta
%User Profile%\DOCUMENTS\hrdb.ico
%User Temp%\lsm.exe
%User Temp%\is64.txt
%User Temp%\is64.bat
%User Temp%\is64.fil
%Desktop%\HARDBIT.jpg

マルウェアのコンポーネントファイルの削除：

Windows 2000、XP および Server 2003 の場合：

[スタート]-[検索]-[ファイルとフォルダすべて]を選択します。
[ファイル名のすべてまたは一部]に以下のファイル名を入力してください。
{Encrypted Directory}\How To Restore Your Files.txt
{Encrypted Directory}\Help_me_for_Decrypt.hta
%User Temp%\readme-warning.hta
%User Profile%\DOCUMENTS\hrdb.ico
%User Temp%\lsm.exe
%User Temp%\is64.txt
%User Temp%\is64.bat
%User Temp%\is64.fil
%Desktop%\HARDBIT.jpg
[探す場所]の一覧から[マイコンピュータ]を選択し、[検索]を押します。
検索が終了したら、ファイルを選択し、SHIFT+DELETE を押します。これにより、ファイルが完全に削除されます。
註：ファイル名の入力欄のタイトルは、Windowsのバージョンによって異なります。（例：ファイルやフォルダ名の検索の場合やファイル名のすべてまたは一部での検索）

Windows Vista、7、Server 2008、8、8.1、10 および Server 2012 の場合：

Windowsエクスプローラ画面を開きます。
- Windows Vista、7 および Server 2008 の場合：
  - [スタート]-[コンピューター]を選択します。
- Windows 8、8.1、10 および Server 2012 の場合：
  - 画面の左下隅を右クリックし、[エクスプローラー]を選択します。
[コンピューターの検索]に、以下を入力します。
{Encrypted Directory}\How To Restore Your Files.txt
{Encrypted Directory}\Help_me_for_Decrypt.hta
%User Temp%\readme-warning.hta
%User Profile%\DOCUMENTS\hrdb.ico
%User Temp%\lsm.exe
%User Temp%\is64.txt
%User Temp%\is64.bat
%User Temp%\is64.fil
%Desktop%\HARDBIT.jpg
ファイルが表示されたら、そのファイルを選択し、SHIFT+DELETE を押します。これにより、ファイルが完全に削除されます。
註：Windows 7 および Server 2008 において上記の手順が正しく行われない場合、マイクロソフトのWebサイトをご確認ください。

手順 7

以下のフォルダを検索し削除します。

[ 詳細 ]

フォルダが隠しフォルダ属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。

%User Temp%\myfiles
%User Temp%\wxy

このマルウェアまたはアドウェア等が作成したフォルダの削除：

Windows 2000、XP および Server 2003 の場合：

[スタート]-[検索]-[ファイルとフォルダすべて]を選択します。
[ファイル名のすべてまたは一部]に、以下のフォルダ名を入力してください。

%User Temp%\myfiles
%User Temp%\wxy
[探す場所]の一覧から[マイコンピュータ]を選択し、[検索]を押します。
検索が終了したら、フォルダを選択し、SHIFT+DELETE を押します。これにより、フォルダが完全に削除されます。
残りのフォルダに対して、このマルウェアまたはアドウェア等が作成したフォルダの削除の手順 2.）から 4.）を繰り返してください。

%User Temp%\myfiles
%User Temp%\wxy

註：ファイル名の入力欄のタイトルは、Windowsのバージョンによって異なります。（例：ファイルやフォルダ名の検索の場合やファイル名のすべてまたは一部での検索）

Windows Vista、7、Server 2008、8、8.1 および Server 2012 の場合：

Windowsエクスプローラ画面を開きます。
- Windows Vista、7 および Server 2008 の場合：
  - [スタート]-[コンピューター]を選択します。
- Windows 8、8.1 および Server 2012 の場合：
  - 画面の左隅を右クリックし、[エクスプローラー]を選択します。
[コンピューターの検索]に、以下を入力します。

%User Temp%\myfiles
%User Temp%\wxy
検索が終了したら、そのファイルを選択し、SHIFT+DELETE を押します。これにより、フォルダが完全に削除されます。
残りのフォルダに対して、このマルウェアまたはアドウェア等が作成したフォルダの削除の手順 2.）から 3.）を繰り返してください。

%User Temp%\myfiles
%User Temp%\wxy

註：Windows 7 において上記の手順が正しく行われない場合、マイクロソフトのWebサイトをご確認ください。

手順 8

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「Ransom.MSIL.HARDBIT.THAODBC」と検出したファイルはすべて削除してください。検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

手順 9

デスクトッププロパティを修正します。

[ 詳細 ]

手順 10

暗号化されたファイルをバックアップから復元します。

ご利用はいかがでしたか？　アンケートにご協力ください