• Email
• Facebook
• Twitter
• Google+
• Linkedin

Ransom.Win32.BURAN.A

---

• マルウェアタイプ: 身代金要求型不正プログラム（ランサムウェア）
• 破壊活動の有無: なし
• 暗号化:  
• 感染報告の有無: はい

---

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、実行後、自身を削除します。

---

  詳細

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\Microsoft\Windows\ctfmon.exe

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のプロセスを追加します。

• "%System%\cmd.exe" /e:on /c md "%Application Data%\Microsoft\Windows" & copy "%User Temp%\{Malware Name}.exe" "%Application Data%\Microsoft\Windows\ctfmon.exe" & reg add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /V "Alternative User Input" /t REG_SZ /F /D "\"%Application Data%\Microsoft\Windows\ctfmon.exe\" *"
• %Application Data%\Microsoft\Windows\ctfmon.exe *
• %System%\cmd.exe /c for /l %x in (1,1,999) do ( ping -n 3 127.1 & del "%User Temp%\Ransom_Win32_BURAN_A_fa9fa1.exe" & if not exist "%User Temp%\Ransom_Win32_BURAN_A_fa9fa1.exe" exit )
• reg add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /V "Alternative User Input" /t REG_SZ /F /D "\"%Application Data%\Microsoft\Windows\ctfmon.exe\" *"
• "%System%\cmd.exe" /C bcdedit /set {default} bootstatuspolicy ignoreallfailures
• "%System%\cmd.exe" /C bcdedit /set {default} recoveryenabled no
• "%System%\cmd.exe" /C wbadmin delete catalog -quiet
• "%System%\cmd.exe" /C wbadmin delete systemstatebackup
• "%System%\cmd.exe" /C wbadmin delete systemstatebackup -keepversions:0
• "%System%\cmd.exe" /C wbadmin delete backup
• "%System%\cmd.exe" /C wmic shadowcopy delete
• %System%\PING.EXE ping -n 3 127.1

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、身代金を要求する手紙として、テキストファイルを作成します。このテキストファイルは以下の内容を含んでいます。

• !!! YOUR FILES ARE ENCRYPTED !!!.TXT
  

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Alternative User Input = "%Application Data%\Microsoft\Windows\ctfmon.exe *"

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Buran\
Service

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Buran\
Service
Public Key = "{random characters}"

HKEY_CURRENT_USER\Software\Buran\
Service
Machine ID = "{random characters}"

HKEY_CURRENT_USER\Software\Buran
Knock = "666"

作成活動

マルウェアは、以下のファイルを作成します。

• %User Temp%\{Random Characters}.buran
• %User Temp%\{Random Characters}.buran

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

その他

マルウェアは、実行後、自身を削除します。

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• boot.ini
• bootfont.bin
• bootsect.bak
• desktop.ini
• ctfmon.exe
• iconcache.db
• master.exe
• master.dat
• ntdetect.com
• ntldr
• ntuser.dat
• ntuser.dat.log
• ntuser.ini
• thumbs.db
• !!! YOUR FILES ARE ENCRYPTED !!!.TXT
• .cmd
• .com
• .cpl
• .dll
• .msc
• .msp
• .pif
• .scr
• .sys
• .log
• .lnk
• .buran
• .bat

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• $RECYCLE.BIN\
• :\$Windows.~bt\
• :\RECYCLER
• :\System Volume Information\
• :\Windows.old\
• :\Windows\
• :\intel\
• :\nvidia\
• :\inetpub\logs\
• \All Users\
• \AppData\
• \Apple Computer\Safari\
• \Application Data\
• \Boot\
• \Google\
• \Google\Chrome\
• \Mozilla Firefox\
• \Mozilla\
• \Opera Software\
• \Opera\
• \Tor Browser\
• \Common Files\
• \Internet Explorer\
• \Windows Defender\
• \Windows Mail\
• \Windows Media Player\
• \Windows Multimedia Platform\
• \Windows NT\
• \Windows Photo Viewer\
• \Windows Portable Devices\
• \WindowsPowerShell\
• \Windows Photo Viewer\
• \Windows Security\
• \Embedded Lockdown Manager\
• \Windows Journal\
• \MSBuild\
• \Reference Assemblies\
• \Windows Sidebar\
• \Windows Defender Advanced Threat Protection\
• \Microsoft\
• \Package Cache\
• \Microsoft Help\

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• {8 digit characters}-{4 digit characters}-{4 digit characters}-{12 digit characters}

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください