• Email
• Facebook
• Twitter
• Google+
• Linkedin

Ransom.MSIL.HELLO.YALP-A

---

• マルウェアタイプ: 身代金要求型不正プログラム（ランサムウェア）
• 破壊活動の有無: なし
• 暗号化: はい
• 感染報告の有無: はい

---

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。

---

  詳細

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %public%\Desktop\list.hello → List of all encrypted files
• %Desktop%\list.hello → List of all encrypted files
• %All Users Profile%\Microsoft\Crypto\RSA\MachineKeys\{random GUID}

(註：%Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\Desktop" です。. %All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。)

マルウェアは、以下のプロセスを追加します。

• "%System%\vssadmin.exe" delete shadows /all → Deletes shadow copy
• "powershell.exe" Dismount-DiskImage "{Found filepath.vhd}" → Dismounts Virtual Drives

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

プロセスの終了

マルウェアは、感染コンピュータ上で確認した以下のサービスを終了します。

• mssql
• sql
• postgresql
• oracle
• mysql
• veeam
• backup

その他

マルウェアは、以下の拡張子をもつファイルを暗号化します。

• *.txt
• *.doc?
• *.xls?
• *.ppt?
• *.pdf
• *.csv
• *.zip?
• *.rar?
• *.7z?
• *.gz?
• *.sql
• *.mdf
• *.myd
• *.ibd
• *_fsm
• *_vm
• *.db?
• *.rpt

マルウェアは、以下を実行します。

• It deletes files with following extensions in their filenames:
  • *.bak
  • *.bk
  • *.vbk
  • *.vbm
  • *.vhd
• It deletes files with following strings in their filenames:
  • *backup*
• It requires a specific argument to proceed with its encryption routine.

ランサムウェアの不正活動

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• %Windows%\
• %All Users Profile%\
• %System Root%\$recycle bin\
• %System Root%\Common Files\
• %System Root%\windowspowershell\

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.. %All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。. %System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .hello

マルウェアが作成する以下のファイルは、脅迫状です。

• %public%\Desktop\Readme!!!.txt
• %Desktop%\Readme!!!.txt
  

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください