Trend Micro Security

Ransom.MSIL.SMINAJ.THCOFBD

2024年3月13日
 解析者: Francesca Villasanta   

 別名:

UDS:Trojan-Ransom.MSIL.Gen.gen (KASPERSKY)

 プラットフォーム:

Windows

 危険度:
 ダメージ度:
 感染力:
 感染確認数:
 情報漏えい:


  • マルウェアタイプ: 身代金要求型不正プログラム(ランサムウェア)
  • 破壊活動の有無: なし
  • 暗号化: なし
  • 感染報告の有無: はい

  概要

感染経路 インターネットからのダウンロード, 他のマルウェアからの作成

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

特定のファイル拡張子を持つファイルを暗号化します。 身代金要求文書のファイルを作成します。


  詳細

ファイルサイズ 439,296 bytes
タイプ EXE
メモリ常駐 なし
発見日 2024年3月5日
ペイロード ファイルの作成, ファイルの暗号化, プロセスの強制終了

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成し実行します。

  • %User Temp%\{6 Random Characters}.bat → used to delete the Ransomware sample and this batch file

(註:%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\<ユーザー名>\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\<ユーザ名>\AppData\Local\Temp" です。)

マルウェアは、以下のプロセスを追加します。

  • vssadmin.exe Delete Shadows /All /Quiet
  • bcdedit.exe /set {default} recoveryenabled No
  • bcdedit.exe /set {default} bootstatuspolicy ignoreallfailures
  • wbadmin DELETE SYSTEMSTATEBACKUP
  • wbadmin DELETE sYSTEMSTATEBACKUP-deleteOldest
  • wmic.exe SHADOWCOPY /nointeractive
  • wevtutil.exe cl "{Logname}" → clears event logs
    Lognames:
    • ACEEventLog
    • Application
    • HardwareEvents
    • Internet Explorer
    • Key Management Service
    • Media Center
    • Microsoft-Windows-API-Tracing/Operational
    • Microsoft-Windows-AppID/Operational
    • Microsoft-Windows-Application-Experience/Problem-Steps-Recorder
    • Microsoft-Windows-Application-Experience/Program-Compatibility-Assistant
    • Microsoft-Windows-Application-Experience/Program-Compatibility-Troubleshooter
    • Microsoft-Windows-Application-Experience/Program-Inventory
    • Microsoft-Windows-Application-Experience/Program-Telemetry
    • Microsoft-Windows-AppLocker/EXE and DLL
    • Microsoft-Windows-AppLocker/MSI and Script
    • Microsoft-Windows-Audio/CaptureMonitor
    • Microsoft-Windows-Audio/Operational
    • Microsoft-Windows-Authentication User Interface/Operational
    • Microsoft-Windows-Backup
    • Microsoft-Windows-BitLocker-DrivePreparationTool/Admin
    • Microsoft-Windows-BitLocker-DrivePreparationTool/Operational
    • Microsoft-Windows-Bits-Client/Operational
    • Microsoft-Windows-Bluetooth-MTPEnum/Operational
    • Microsoft-Windows-BranchCache/Operational
    • Microsoft-Windows-BranchCacheSMB/Operational
    • Microsoft-Windows-CodeIntegrity/Operational
    • Microsoft-Windows-CorruptedFileRecovery-Client/Operational
    • Microsoft-Windows-CorruptedFileRecovery-Server/Operational
    • Microsoft-Windows-DateTimeControlPanel/Operational
    • Microsoft-Windows-DeviceSync/Operational
    • Microsoft-Windows-Dhcp-Client/Admin
    • Microsoft-Windows-DhcpNap/Admin
    • Microsoft-Windows-Dhcpv6-Client/Admin
    • Microsoft-Windows-Diagnosis-DPS/Operational
    • Microsoft-Windows-Diagnosis-PCW/Operational
    • Microsoft-Windows-Diagnosis-PLA/Operational
    • Microsoft-Windows-Diagnosis-Scheduled/Operational
    • Microsoft-Windows-Diagnosis-Scripted/Admin
    • Microsoft-Windows-Diagnosis-Scripted/Operational
    • Microsoft-Windows-Diagnosis-ScriptedDiagnosticsProvider/Operational
    • Microsoft-Windows-Diagnostics-Networking/Operational
    • Microsoft-Windows-Diagnostics-Performance/Operational
    • Microsoft-Windows-DiskDiagnostic/Operational
    • Microsoft-Windows-DiskDiagnosticDataCollector/Operational
    • Microsoft-Windows-DiskDiagnosticResolver/Operational
    • Microsoft-Windows-DriverFrameworks-UserMode/Operational
    • Microsoft-Windows-EapHost/Operational
    • Microsoft-Windows-EventCollector/Operational
    • Microsoft-Windows-Fault-Tolerant-Heap/Operational
    • Microsoft-Windows-FMS/Operational
    • Microsoft-Windows-Folder Redirection/Operational
    • Microsoft-Windows-Forwarding/Operational
    • Microsoft-Windows-GroupPolicy/Operational
    • Microsoft-Windows-Help/Operational
    • Microsoft-Windows-HomeGroup Control Panel/Operational
    • Microsoft-Windows-HomeGroup Listener Service/Operational
    • Microsoft-Windows-HomeGroup Provider Service/Operational
    • Microsoft-Windows-IKE/Operational
    • Microsoft-Windows-International/Operational
    • Microsoft-Windows-International-RegionalOptionsControlPanel/Operational
    • Microsoft-Windows-Iphlpsvc/Operational
    • Microsoft-Windows-Kernel-EventTracing/Admin
    • Microsoft-Windows-Kernel-Power/Thermal-Operational
    • Microsoft-Windows-Kernel-StoreMgr/Operational
    • Microsoft-Windows-Kernel-WDI/Operational
    • Microsoft-Windows-Kernel-WHEA/Errors
    • Microsoft-Windows-Kernel-WHEA/Operational
    • Microsoft-Windows-Known Folders API Service
    • Microsoft-Windows-LanguagePackSetup/Operational
    • Microsoft-Windows-MCT/Operational
    • Microsoft-Windows-MemoryDiagnostics-Results/Debug
    • Microsoft-Windows-MUI/Admin
    • Microsoft-Windows-MUI/Operational
    • Microsoft-Windows-NCSI/Operational
    • Microsoft-Windows-NetworkAccessProtection/Operational
    • Microsoft-Windows-NetworkAccessProtection/WHC
    • Microsoft-Windows-NetworkLocationWizard/Operational
    • Microsoft-Windows-NetworkProfile/Operational
    • Microsoft-Windows-NlaSvc/Operational
    • Microsoft-Windows-NTLM/Operational
    • Microsoft-Windows-OfflineFiles/Operational
    • Microsoft-Windows-ParentalControls/Operational
    • Microsoft-Windows-PeopleNearMe/Operational
    • Microsoft-Windows-PowerShell/Operational
    • Microsoft-Windows-PrintService/Admin
    • Microsoft-Windows-ReadyBoost/Operational
    • Microsoft-Windows-ReadyBoostDriver/Operational
    • Microsoft-Windows-Recovery/Operational
    • Microsoft-Windows-ReliabilityAnalysisComponent/Operational
    • Microsoft-Windows-RemoteApp and Desktop Connections/Admin
    • Microsoft-Windows-RemoteAssistance/Admin
    • Microsoft-Windows-RemoteAssistance/Operational
    • Microsoft-Windows-Resource-Exhaustion-Detector/Operational
    • Microsoft-Windows-Resource-Exhaustion-Resolver/Operational
    • Microsoft-Windows-Resource-Leak-Diagnostic/Operational
    • Microsoft-Windows-RestartManager/Operational
    • Microsoft-Windows-Security-Audit-Configuration-Client/Operational
    • Microsoft-Windows-TerminalServices-LocalSessionManager/Admin
    • Microsoft-Windows-TerminalServices-LocalSessionManager/Operational
    • Microsoft-Windows-TerminalServices-PnPDevices/Admin
    • Microsoft-Windows-TerminalServices-PnPDevices/Operational
    • Microsoft-Windows-TerminalServices-RDPClient/Operational
    • Microsoft-Windows-TerminalServices-RemoteConnectionManager/Admin
    • Microsoft-Windows-TerminalServices-RemoteConnectionManager/Operational
    • Microsoft-Windows-TZUtil/Operational
    • Microsoft-Windows-UAC/Operational
    • Microsoft-Windows-UAC-FileVirtualization/Operational
    • Microsoft-Windows-User Profile Service/Operational
    • Microsoft-Windows-VDRVROOT/Operational
    • Microsoft-Windows-VHDMP/Operational
    • Microsoft-Windows-WER-Diag/Operational
    • Microsoft-Windows-WFP/Operational
    • Microsoft-Windows-Windows Defender/Operational
    • Microsoft-Windows-Windows Defender/WHC
    • Microsoft-Windows-Windows Firewall With Advanced Security/ConnectionSecurity
    • Microsoft-Windows-Windows Firewall With Advanced Security/Firewall
    • Microsoft-Windows-WindowsBackup/ActionCenter
    • Microsoft-Windows-WindowsSystemAssessmentTool/Operational
    • Microsoft-Windows-WindowsUpdateClient/Operational
    • Microsoft-Windows-Winlogon/Operational
    • Microsoft-Windows-WinRM/Operational
    • Microsoft-Windows-Winsock-WS2HELP/Operational
    • Microsoft-Windows-Wired-AutoConfig/Operational
    • Microsoft-Windows-WLAN-AutoConfig/Operational
    • Microsoft-Windows-WPD-ClassInstaller/Operational
    • Microsoft-Windows-WPD-CompositeClassDriver/Operational
    • Microsoft-Windows-WPD-MTPClassDriver/Operational
    • ODiag
    • OSession
    • Security
    • Setup
    • System
    • Windows PowerShell

マルウェアは、以下のフォルダを作成します。

  • %Public%\Windows\Ui

(註:%Public%フォルダは、すべてのユーザ共通のファイルまたはフォルダのリポジトリとして機能するフォルダです。Windows Vista、7、8の場合、通常 "C:\Users\Public" です。)

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

  • postg
  • mysql
  • sqls
  • sqlw
  • onenote
  • outlook
  • exchange
  • visio
  • oracle
  • powerpnt
  • mydesk
  • excel
  • word
  • vivo

ランサムウェアの不正活動

以下の拡張子を持つファイルを暗号化します:$$ DATA $$

  • .wim
  • .dmp
  • .myo
  • .fdb
  • .key
  • .kdbx
  • .prc
  • .arw
  • .sv2i
  • .v2i
  • .xva
  • .tm
  • .rec
  • .mts
  • .MTS
  • .frm
  • .myi
  • .vhdx
  • .rdpv
  • .ezip
  • .sshv
  • .edb
  • .bco
  • .vbm
  • .vbk
  • .vib
  • .img
  • .7z
  • .aac
  • .accdb
  • .accde
  • .accdr
  • .accdt
  • .adt
  • .adts
  • .aif
  • .aifc
  • .aiff
  • .asp
  • .aspx
  • .avi
  • .bak
  • .bmp
  • .cda
  • .classpath
  • .cpp
  • .cs
  • .csv
  • .dart
  • .dat
  • .dif
  • .doc
  • .docm
  • .docx
  • .dot
  • .dotx
  • .eml
  • .eps
  • .flv
  • .gitignore
  • .go
  • .gz
  • .h
  • .htm
  • .html
  • .ibd
  • .java
  • .jpeg
  • .jpg
  • .js
  • .json
  • .jsp
  • .kt
  • .lua
  • .m4a
  • .mdb
  • .mdf
  • .ldf
  • .mov
  • .mp3
  • .mp4
  • .mpeg
  • .mpg
  • .myd
  • .pdf
  • .php
  • .pl
  • .png
  • .pot
  • .potm
  • .potx
  • .ppam
  • .pps
  • .ppsm
  • .ppsx
  • .ppt
  • .pptm
  • .project
  • .psd
  • .pst
  • .pub
  • .py
  • .rar
  • .rb
  • .rs
  • .rtf
  • .scala
  • .sh
  • .sldm
  • .sldx
  • .sql
  • .svn
  • .swf
  • .swift
  • .tar
  • .vb
  • .vob
  • .vsd
  • .vsdm
  • .vsdx
  • .vss
  • .vssm
  • .vst
  • .vstm
  • .vstx
  • .wav
  • .wbk
  • .wks
  • .wma
  • .wmd
  • .wms
  • .wmv
  • .wmz
  • .wp5
  • .wpd
  • .xla
  • .xlam
  • .xls
  • .xlsm
  • .xlsx
  • .xlt
  • .xltm
  • .xltx
  • .xps
  • .mxf
  • .3g2
  • .3gp
  • .7z
  • .aac
  • .ac3
  • .aep
  • .aepx
  • .aet
  • .aif
  • .aifc
  • .aiff
  • .amr
  • .ape
  • .arc
  • .arj
  • .asf
  • .asp
  • .aspx
  • .asx
  • .au
  • .avi
  • .b64
  • .bat
  • .bh
  • .bmp
  • .btoa
  • .bz2
  • .c
  • .cab
  • .caf
  • .cda
  • .CDDA
  • .cdr
  • .cfg
  • .chm
  • .cpp
  • .cpt
  • .cptx
  • .cr2
  • .csh
  • .css
  • .csv
  • .cue
  • .dat
  • .db
  • .dbf
  • .dds
  • .deb
  • .divx
  • .dmg
  • .doc
  • .docx
  • .dot
  • .dotx
  • .dpx
  • .dss
  • .dst
  • .dts
  • .dv
  • .DWG
  • .dwg
  • .dxf
  • .eac3
  • .eml
  • .eps
  • .flac
  • .fli
  • .flv
  • .gif
  • .gz
  • .gzip
  • .hqx
  • .htm
  • .html
  • .iff
  • .indd
  • .iso
  • .jar
  • .java
  • .jpeg
  • .jpg
  • .js
  • .json
  • .jsp
  • .jspx
  • .kdc
  • .log
  • .ltx
  • .m2a
  • .m2v
  • .m3u
  • .m4a
  • .m4b
  • .m4p
  • .m4r
  • .m4v
  • .max
  • .md
  • .mdb
  • .mef
  • .mht
  • .mhtml
  • .mid
  • .MIDI
  • .midi
  • .mjs
  • .mkv
  • .mov
  • .mp2
  • .mp3
  • .mp4
  • .mpc
  • .mpeg
  • .mpg
  • .mrw
  • .msv
  • .nb
  • .nef
  • .nrw
  • .odb
  • .odf
  • .odg
  • .odp
  • .ods
  • .odt
  • .ogg
  • .ogm
  • .ogv
  • .oma
  • .omg
  • .opus
  • .orf
  • .ost
  • .otf
  • .pac
  • .pages
  • .pb
  • .pbk
  • .pcast
  • .pdf
  • .pef
  • .php
  • .pl
  • .pls
  • .png
  • .ppt
  • .pptx
  • .ps
  • .psd
  • .PST
  • .pst
  • .pub
  • .pva
  • .py
  • .qt
  • .ra
  • .ram
  • .rar
  • .raw
  • .rb
  • .rm
  • .rmi
  • .rmvb
  • .rtf
  • .rw2
  • .rwl
  • .shtml
  • .snd
  • .spx
  • .sql
  • .srf
  • .srt
  • .svg
  • .swf
  • .tar
  • .tbk
  • .tex
  • .TGA
  • .tga
  • .tgz
  • .thd
  • .tif
  • .tiff
  • .tivo
  • .torrent
  • .tp
  • .ts
  • .tta
  • .ttf
  • .txt
  • .vob
  • .voc
  • .vp6
  • .vp7
  • .vsd
  • .w64
  • .wav
  • .wbmp
  • .webm
  • .webp
  • .wma
  • .wmf
  • .wmv
  • .woff
  • .wpd
  • .wpl
  • .wps
  • .wtv
  • .x3f
  • .xa
  • .xcf
  • .xhtml
  • .xla
  • .xlam
  • .xls
  • .xlsx
  • .xm
  • .xmp
  • .xpi
  • .zip

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

  • .lsoc
  • un-lock

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

  • Program Files
  • ProgramData
  • Windows
  • PerfLogs
  • recovery
  • Recycle
  • $

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

  • .lsoc

マルウェアが作成する以下のファイルは、脅迫状です。

  • %Public%\Windows\Ui\un-lock your files.html → file attribute set to HIDDEN | SYSTEM
  • %User Startup%\un-lock your files.html
  • %Desktop%\un-lock your files.html
  • %Start Menu%\un-lock your files.html
  • {Encrypted Drive}:\un-lock your files.html


  対応方法

対応検索エンジン: 9.800
初回 VSAPI パターンバージョン 19.200.04
初回 VSAPI パターンリリース日 2024年3月6日
VSAPI OPR パターンバージョン 19.201.00
VSAPI OPR パターンリリース日 2024年3月7日

手順 1

トレンドマイクロの機械学習型検索は、マルウェアの存在を示す兆候が確認された時点で検出し、マルウェアが実行される前にブロックします。機械学習型検索が有効になっている場合、弊社のウイルス対策製品はこのマルウェアを以下の機械学習型検出名として検出します。

    ADW.Win32.TRX.XXPE50FFF078

手順 2

Windows 7、Windows 8、Windows 8.1、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 3

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム(OS)の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル/フォルダ/レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 4

以下のファイルを検索し削除します。

[ 詳細 ]
コンポーネントファイルが隠しファイル属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。  
  • %User Temp%\{6 Random Characters}.bat
  • %Public%\Windows\Ui\un-lock your files.html
  • %User Startup%\un-lock your files.html
  • %Desktop%\un-lock your files.html
  • %Start Menu%\un-lock your files.html
  • {Encrypted Drive}:\un-lock your files.html

手順 5

以下のフォルダを検索し削除します。

[ 詳細 ]
フォルダが隠しフォルダ属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。  
  • %Public%\Windows\Ui

手順 6

最新のバージョン(エンジン、パターンファイル)を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「Ransom.MSIL.SMINAJ.THCOFBD」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。


ご利用はいかがでしたか? アンケートにご協力ください