Ransom.Win32.BITLOCKED.A
Trojan-Ransom.Tellyouthepass (Ikarus)
Windows
- マルウェアタイプ: 身代金要求型不正プログラム（ランサムウェア）
- 破壊活動の有無: なし
- 暗号化: なし
- 感染報告の有無: はい
概要
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。
詳細
侵入方法
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
インストール
マルウェアは、以下のファイルを作成します。
- %All Users Profile\windows -> contains personal ID
その他
マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。
- http://{BLOCKED}.{BLOCKED}.28.203/ok
ランサムウェアの不正活動
マルウェアは、以下の文字列を含むファイルを暗号化します。
- 1cd
- 3dm
- 3ds
- 3fr
- 3g2
- 3gp
- 3pr
- 602
- 7z
- ps1
- 7zip
- aac
- ab4
- accdb
- accde
- accdr
- accdt
- ach
- acr
- act
- adb
- adp
- ads
- aes
- agdl
- ai
- aiff
- ait
- al
- aoi
- apj
- arc
- arw
- asc
- asf
- asm
- asp
- aspx
- asx
- avi
- awg
- back
- backup
- backupdb
- bak
- bank
- bat
- bay
- bdb
- bgt
- bik
- bin
- bkp
- blend
- bmp
- bpw
- brd
- c
- cdf
- cdr
- cdr3
- cdr4
- cdr5
- cdr6
- cdrw
- cdx
- ce1
- ce2
- cer
- cfg
- cgm
- cib
- class
- cls
- cmd
- cmt
- config
- contact
- cpi
- cpp
- cr2
- craw
- crt
- crw
- cs
- csh
- csl
- csr
- css
- csv
- dac
- dat
- db
- db3
- db_journal
- dbf
- dbx
- dc2
- dch
- dcr
- dcs
- ddd
- ddoc
- ddrw
- dds
- der
- des
- design
- dgc
- dif
- dip
- dit
- djv
- djvu
- dng
- doc
- docb
- docm
- docx
- dot
- dotm
- dotx
- drf
- drw
- dtd
- dwg
- dxb
- dxf
- dxg
- edb
- eml
- eps
- erbsql
- erf
- exf
- fdb
- ffd
- fff
- fh
- fhd
- fla
- flac
- flf
- flv
- flvv
- fpx
- frm
- fxg
- gif
- gpg
- gray
- grey
- groups
- gry
- gz
- h
- hbk
- hdd
- hpp
- html
- hwp
- ibank
- ibd
- ibz
- idx
- iif
- iiq
- incpas
- indd
- jar
- java
- jnt
- jpe
- jpeg
- jpg
- js
- kc2
- kdbx
- kdc
- key
- kpdx
- kwm
- laccdb
- lay
- lay6
- ldf
- lit
- log
- lua
- m
- m2ts
- m3u
- m4p
- m4u
- m4v
- mapimail
- max
- mbx
- md
- mdb
- mdc
- mdf
- mef
- mfw
- mid
- mkv
- mlb
- mml
- mmw
- mny
- moneywell
- mos
- mov
- mp3
- mp4
- mpeg
- mpg
- mrw
- ms11
- msg
- myd
- myi
- nd
- ndd
- ndf
- nef
- nk2
- nop
- nrw
- ns2
- ns3
- ns4
- nsd
- nsf
- nsg
- nsh
- nvram
- nwb
- nx2
- nxl
- nyf
- oab
- obj
- odb
- odc
- odf
- odg
- odm
- odp
- ods
- odt
- ogg
- oil
- orf
- ost
- otg
- oth
- otp
- ots
- ott
- p12
- p7b
- p7c
- pab
- pages
- paq
- pas
- pat
- pcd
- pct
- pdb
- pdd
- pef
- pem
- pfx
- php
- pif
- pl
- plc
- plus_muhd
- png
- pot
- potm
- potx
- ppam
- pps
- ppsm
- ppsx
- ppt
- pptm
- pptx
- prf
- ps
- psafe3
- psd
- pspimage
- pst
- ptx
- pwm
- py
- qba
- qbb
- qbm
- qbr
- qbw
- qbx
- qby
- qcow
- qcow2
- qed
- r3d
- raf
- rar
- rat
- raw
- rb
- rdb
- rm
- rtf
- rvt
- rw2
- rwl
- rwz
- s3db
- safe
- sas7bdat
- sav
- save
- say
- sch
- sd0
- sda
- sdf
- sh
- sldm
- sldx
- slk
- sql
- sqlite
- sqlite3
- sqlitedb
- sr2
- srf
- srt
- srw
- st4
- st5
- st6
- st7
- st8
- stc
- std
- sti
- stm
- stw
- stx
- svg
- swf
- sxc
- sxd
- sxg
- sxi
- sxm
- sxw
- tar
- tar.bz2
- tbk
- tex
- tga
- tgz
- thm
- tif
- tiff
- tlg
- txt
- uop
- uot
- vb
- vbox
- vbs
- vdi
- vhd
- vhdx
- vmdk
- vmsd
- vmx
- vmxf
- vob
- wab
- wad
- wallet
- wav
- wb2
- wk1
- wks
- wma
- wmv
- wpd
- wps
- x11
- x3f
- xis
- xla
- xlam
- xlc
- xlk
- xlm
- xlr
- xls
- xlsb
- xlsm
- xlsx
- xlt
- xltm
- xltx
- xlw
- xml
- ycbcra
- yuv
- zip
マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。
- All Users
- AppData
- Boot
- bootfont.bin
- EFI\Boot
- EFI\Microsoft
- Local Settings
- Program Files
- ProgramData
- Recycle.Bin
- System Volume Information
- Windows
マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。
- .locked
マルウェアが作成する以下のファイルは、脅迫状です。
- {encrypted folder}\README.html
対応方法
手順 1
Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 2
このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。
手順 3
「Ransom.Win32.BITLOCKED.A」で検出したファイル名を確認し、そのファイルを終了します。
- すべての実行中プロセスが、Windows のタスクマネージャに表示されない場合があります。この場合、"Process Explorer" などのツールを使用しマルウェアのファイルを終了してください。"Process Explorer" については、こちらをご参照下さい。
- 検出ファイルが、Windows のタスクマネージャまたは "Process Explorer" に表示されるものの、削除できない場合があります。この場合、コンピュータをセーフモードで再起動してください。
セーフモードについては、こちらをご参照下さい。 - 検出ファイルがタスクマネージャ上で表示されない場合、次の手順にお進みください。
手順 4
以下のファイルを検索し削除します。
- %All Users Profile\windows
- {encrypted folder}\README.html
手順 5
最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「Ransom.Win32.BITLOCKED.A」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
ご利用はいかがでしたか？ アンケートにご協力ください