Ransom.MSIL.SHINOLOCK.THKBCBC
MSIL/Generic.AP.15EDD4!tr (FORTINET)
Windows
- マルウェアタイプ: 身代金要求型不正プログラム(ランサムウェア)
- 破壊活動の有無: なし
- 暗号化:
- 感染報告の有無: はい
概要
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
特定のフォルダ内のファイルを暗号化します。
詳細
侵入方法
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
インストール
マルウェアは、異なるファイル名を用いて以下のフォルダ内に自身のコピーを作成します。
- %User Temp%\{Random filename 1}.exe
(註:%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\<ユーザー名>\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\<ユーザ名>\AppData\Local\Temp" です。)
マルウェアは、以下のファイルを作成します。
- %User Temp%\{Random filename 3}.txt → sample file to encrypt
- %User Temp%\{Random filename 4}.lst → contains the list of encrypted files
(註:%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\<ユーザー名>\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\<ユーザ名>\AppData\Local\Temp" です。)
マルウェアは、以下のファイルを作成し実行します。
- %User Temp%\{Random filename 2}.exe → AES Encryptor/Decryptor
(註:%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\<ユーザー名>\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\<ユーザ名>\AppData\Local\Temp" です。)
マルウェアは、以下のプロセスを追加します。
- "%System%\vssadmin.exe" delete shadows /all /quiet
- "%User Temp%\{Random filename 2}.exe" E Wez03hsEhpTFfcIBCH1CnQ== D91JCmhNvM0wuImxRf7PuQ== "%User Temp%\{Random filename 3}.txt" → AES Encryptor to encrypt sample file
- "%User Temp%\{Random filename 2}.exe" D D91JCmhNvM0wuImxRf7PuQ== "%User Temp%\{Random filename 3}.txt.shino" → AES Decryptor to decrypt sample file
- "%User Temp%\{Random filename 2}.exe" E Wez03hsEhpTFfcIBCH1CnQ== D91JCmhNvM0wuImxRf7PuQ== "%Desktop%\{target file}" → AES Encryptor to encrypt target files in Desktop folder
- "%User Temp%\{Random filename 2}.exe" E Wez03hsEhpTFfcIBCH1CnQ== D91JCmhNvM0wuImxRf7PuQ== "%Desktop%\{subfolders}\{target file}" → AES Encryptor to encrypt target files in Desktop subfolders
(註:%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\<ユーザー名>\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\<ユーザ名>\AppData\Local\Temp" です。. %Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\<ユーザ名>\Desktop" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\<ユーザ名>\Desktop" です。)
他のシステム変更
マルウェアは、インストールの過程で、以下のレジストリ値を追加します。
HKEY_CURRENT_USER\Software\ShinoLocker
P = %User Temp%\{Random filename 1}.exe
HKEY_CURRENT_USER\Software\ShinoLocker
PS = %User Temp%\{Random filename 2}.exe
HKEY_CURRENT_USER\Software\ShinoLocker
FL = %User Temp%\{Random filename 4}.lst
HKEY_CURRENT_USER\Software\ShinoLocker
TF = %User Temp%\{Random filename 3}.txt
HKEY_CURRENT_USER\Software\ShinoLocker
TD = {string}
HKEY_CURRENT_USER\Software\ShinoLocker
H = 1
HKEY_CURRENT_USER\Software\ShinoLocker
V = "{B64 string}"
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
BitBucket\c
NeedToPurge = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
.shino
(Default) = ShinoLockerEncryptedFile
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
ShinoLockerEncryptedFile\shell\open\
command
(Default) = %User Temp%\{Random filename 1}.exe "%l"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
ShinoLockerEncryptedFile\DefaultIcon
(Default) = %User Temp%\{Random filename 1}.exe, 0
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer
GlobalAssocChangedCounter = 37
その他
このマルウェアのコードから、マルウェアは、以下の機能を備えています。
- Restore Encrypted files
- Uninstall itself
マルウェアは、以下の拡張子をもつファイルを暗号化します。
- .bmp
- .jpg
- .jpeg
- .png
- .wmv
- .avi
- .mov
- .mp4
- .mp3
- .wav
- .pptx
- .doc
- .docx
- .xls
- .xlsx
- .doc
マルウェアは、以下を実行します。
- It displays the following user interface upon execution:
- It replaces the encrypted files' icon with the malware's icon.
ランサムウェアの不正活動
マルウェアは、以下のディレクトリ内で確認されたファイルを暗号化します。
- %Desktop%
- %Desktop%\{subfolders}
(註:%Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\<ユーザ名>\Desktop" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\<ユーザ名>\Desktop" です。)
マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。
- .shino
対応方法
手順 1
トレンドマイクロの機械学習型検索は、マルウェアの存在を示す兆候が確認された時点で検出し、マルウェアが実行される前にブロックします。機械学習型検索が有効になっている場合、弊社のウイルス対策製品はこのマルウェアを以下の機械学習型検出名として検出します。
-
TROJ.Win32.TRX.XXPE50FFF075
手順 2
Windows 7、Windows 8、Windows 8.1、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 3
「Ransom.MSIL.SHINOLOCK.THKBCBC」で検出したファイル名を確認し、そのファイルを終了します。
- すべての実行中プロセスが、Windows のタスクマネージャに表示されない場合があります。この場合、"Process Explorer" などのツールを使用しマルウェアのファイルを終了してください。"Process Explorer" については、こちらをご参照下さい。
- 検出ファイルが、Windows のタスクマネージャまたは "Process Explorer" に表示されるものの、削除できない場合があります。この場合、コンピュータをセーフモードで再起動してください。
セーフモードについては、こちらをご参照下さい。 - 検出ファイルがタスクマネージャ上で表示されない場合、次の手順にお進みください。
手順 4
このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム(OS)の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル/フォルダ/レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。
手順 5
このレジストリ値を削除します。
警告:レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。
- In HKEY_CURRENT_USER\Software\ShinoLocker
- P = %User Temp%\{Random filename 1}.exe
- P = %User Temp%\{Random filename 1}.exe
- In HKEY_CURRENT_USER\Software\ShinoLocker
- PS = %User Temp%\{Random filename 2}.exe
- PS = %User Temp%\{Random filename 2}.exe
- In HKEY_CURRENT_USER\Software\ShinoLocker
- FL =%User Temp%\{Random filename 4}.lst
- FL =%User Temp%\{Random filename 4}.lst
- In HKEY_CURRENT_USER\Software\ShinoLocker
- TF =%User Temp%\{Random filename 3}.txt
- TF =%User Temp%\{Random filename 3}.txt
- In HKEY_CURRENT_USER\Software\ShinoLocker
- TD = {string}
- TD = {string}
- In HKEY_CURRENT_USER\Software\ShinoLocker
- H = 1
- H = 1
- In HKEY_CURRENT_USER\Software\ShinoLocker
- V = {B64 string}
- V = {B64 string}
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\BitBucket\c
- NeedToPurge = 1
- NeedToPurge = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.shino
- (Default) = ShinoLockerEncryptedFile
- (Default) = ShinoLockerEncryptedFile
- In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\ShinoLockerEncryptedFile\shell\open\command
- (Default) = %User Temp%\{Random filename 1}.exe "%l"
- (Default) = %User Temp%\{Random filename 1}.exe "%l"
- In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\ShinoLockerEncryptedFile\DefaultIcon
- (Default) = %User Temp%\{Random filename 1}.exe, 0
- (Default) = %User Temp%\{Random filename 1}.exe, 0
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer
- GlobalAssocChangedCounter = 37
- GlobalAssocChangedCounter = 37
手順 6
以下のファイルを検索し削除します。
- %User Temp%\{Random filename 1}.exe
- %User Temp%\{Random filename 2}.exe
- %User Temp%\{Random filename 3}.txt
- %User Temp%\{Random filename 4}.lst
手順 7
最新のバージョン(エンジン、パターンファイル)を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「Ransom.MSIL.SHINOLOCK.THKBCBC」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
ご利用はいかがでしたか? アンケートにご協力ください