Trend Micro Security

Ransom.Win32.LIVEDE.THLBHBC

2024年5月14日
 解析者: Raighen Sanchez   

 別名:

Trojan:Win32/Filecoder.ARA!MTB (MICROSOFT)

 プラットフォーム:

Windows

 危険度:
 ダメージ度:
 感染力:
 感染確認数:
 情報漏えい:


  • マルウェアタイプ: 身代金要求型不正プログラム(ランサムウェア)
  • 破壊活動の有無: なし
  • 暗号化:  
  • 感染報告の有無: はい

  概要

感染経路 インターネットからのダウンロード, 他のマルウェアからの作成

トレンドマイクロは、このマルウェアをNoteworthy(要注意)に分類しました。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。


  詳細

ファイルサイズ 1,783,094 bytes
タイプ EXE
メモリ常駐 はい
発見日 2023年12月28日
ペイロード 画像の表示, ファイルの作成, ファイルの暗号化

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

  • {malware directory}\libgobject-2.0-0.dll
  • {malware directory}\libiconv-2.dll
  • {malware directory}\libintl-8.dll
  • {malware directory}\libpcre2-8-0.dll
  • {malware directory}\livelocked.exe
  • {malware directory}\windows_encryptor_180870197840.exe
  • {malware directory}\libffi-8.dll
  • {malware directory}\libglib-2.0-0.dll

マルウェアは、以下のプロセスを追加します。

  • bcdedit /set {current} recoveryenabled no
  • bcdedit /set {default} recoveryenabled no
  • bcdedit /set {current} bootstatuspolicy ignoreallfailures
  • bcdedit /set {default} bootstatuspolicy ignoreallfailures
  • vssadmin Delete Shadows /All /Quiet
  • wbadmin DELETE BACKUP -keepVersions:0 -quiet
  • taskkill /F /IM {process name}
  • net stop {service name} /y
  • wevtutil cl application
  • wevtutil cl security
  • wevtutil cl system

他のシステム変更

マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。

その他

マルウェアは、以下を実行します。

  • The file is a self-extracting archive.
  • Clears event logs to hide its malicious behaviors.
  • It encrypts drives from A:\ to Z:\

マルウェアは、以下のパラメータを受け取ります。

  • -s, --self
  • -h, --help, -help, /?
  • -d, --directory
  • -dr, --deleteRestorePoints {true, false}
  • -ss, --stopServices {true, false}
  • -sp, --stopProcesses {true, false}
  • -dn, --dropNote {true, false}
  • -cw, --changeWallpaper {false}

ランサムウェアの不正活動

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

  • C:\Program Files
  • C:\Program Files(x86)
  • C:\ProgramData
  • C:\Windows
  • C:\msys64
  • C:\Users\All Users

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

  • {original filename}.{original extension}.live

マルウェアが作成する以下のファイルは、脅迫状です。

  • {encrypted directory}\FILE RECOVERY_ID_393FB90.txt

以下のファイル拡張子を持つファイルについては暗号化しません:

  • exe
  • dll
  • ini
  • tmp
  • url
  • lnk
  • ps1
  • nls
  • shs
  • themepack
  • bin
  • msp
  • wpx
  • bat
  • sys
  • spl
  • scr
  • icl
  • rom
  • msc
  • ico
  • LIVE

<補足>
その他

マルウェアは、以下を実行します。

  • マルウェアは自己解凍型アーカイブファイルです。
  • 自身の不正活動を隠すためにイベントログをクリアします。
  • A:\からZ:\までのドライブを暗号化します。


  対応方法

対応検索エンジン: 9.800
初回 VSAPI パターンバージョン 18.916.02
初回 VSAPI パターンリリース日 2024年1月2日
VSAPI OPR パターンバージョン 18.917.00
VSAPI OPR パターンリリース日 2024年1月3日

手順 1

トレンドマイクロの機械学習型検索は、マルウェアの存在を示す兆候が確認された時点で検出し、マルウェアが実行される前にブロックします。機械学習型検索が有効になっている場合、弊社のウイルス対策製品はこのマルウェアを以下の機械学習型検出名として検出します。

    •  TROJ.Win32.TRX.XXPE50FSX045

手順 2

Windows 7、Windows 8、Windows 8.1、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 3

以下のファイルを検索し削除します。

[ 詳細 ]
コンポーネントファイルが隠しファイル属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • {encrypted directory}\FILE RECOVERY_ID_393FB90.txt

手順 4

最新のバージョン(エンジン、パターンファイル)を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「Ransom.Win32.LIVEDE.THLBHBC」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。


ご利用はいかがでしたか? アンケートにご協力ください