![Trend Micro Security](https://www.trendmicro.com/content/dam/trendmicro/global/en/global/logo/logo-desktop.png)
Ransom.Win32.LOCKBIT.ENU
Ransom:Win32/Lockbit.STA (MICROSOFT), Win32:LockBit-A [Ransom] (AVAST)
Windows
![](/vinfo/imgFiles/JPlegend.jpg)
- マルウェアタイプ: 身代金要求型不正プログラム(ランサムウェア)
- 破壊活動の有無: なし
- 暗号化: はい
- 感染報告の有無: はい
概要
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
以下のファイル拡張子を持つファイルは暗号化しません。
詳細
侵入方法
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
インストール
マルウェアは、以下のファイルを作成します。
- %System%\{random}.ico → icon for encrypted files
- {Drive}\{random}.lock → deleted afterwards
(註:%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)
マルウェアは、以下のプロセスを追加します。
- "%System%\cmd.exe" /c vssadmin delete shadows /all /quiet & wmic shadowcopy delete & bcdedit /set {default} bootstatuspolicy ignoreallfailures & bcdedit /set {default} recoveryenabled no
(註:%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)
マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。
- {095650E2-0956-73FC-75BA-CE6A6A58CEB8}
自動実行方法
マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{030CECE2-5656-7371-75BA-756A705801B8} = {Malware Path and Name}.exe
他のシステム変更
マルウェアは、以下のレジストリ値を追加します。
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
.lockbit\DefaultIcon
{Default} = %System%\{random}.ico
HKEY_CURRENT_USER\Software\FA0C50E256FCBA
Private = {Generated Session Key}
HKEY_CURRENT_USER\Software\FA0C50E256FCBA
Public = {Generated Session Key}
プロセスの終了
マルウェアは、感染コンピュータ上で確認した以下のサービスを終了します。
- AcronisAgent
- AcrSch2Svc
- ARSM
- backup
- BackupExecAgentAccelerator
- BackupExecAgentBrowser
- BackupExecDiveciMediaService
- BackupExecJobEngine
- BackupExecManagementService
- BackupExecRPCService
- BackupExecVSSProvider
- bedbg
- CAARCUpdateSvc
- CASAD2DWebSvc
- ccEvtMgr
- ccSetMgr
- Culserver
- dbeng8
- dbsrv12
- DefWatch
- FCS
- FishbowlMySQL
- Intuit
- memtas
- mepocs
- MSExchange
- MSExchange$
- msftesql-Exchange
- msmdsrv
- MSSQL
- MSSQL$
- MSSQL$KAV_CS_ADMIN_KIT
- MSSQL$MICROSOFT##SSEE
- MSSQL$MICROSOFT##WID
- MSSQL$SBSMONITORING
- MSSQL$SHAREPOINT
- MSSQL$VEEAMSQL2012
- MSSQLFDLauncher$SBSMONITORING
- MSSQLFDLauncher$SHAREPOINT
- MSSQLServerADHelper100
- MVArmor
- MVarmor64
- MySQL57
- PDVFSService
- QBCFMonitorService
- QBFCService
- QBIDPService
- QBVSS
- QuickBooks
- RTVscan
- SavRoam
- sophos
- sql
- sqladhlp
- SQLADHLP
- sqlagent
- SQLAgent$KAV_CS_ADMIN_KIT
- SQLAgent$SBSMONITORING
- SQLAgent$SHAREPOINT
- SQLAgent$VEEAMSQL2012
- sqlbrowser
- SQLBrowser
- Sqlservr
- SQLWriter
- stc_raw_agent
- svc$
- tomcat6
- veeam
- VeeamDeploymentService
- VeeamNFSSvc
- VeeamTransportSvc
- vmware-converter
- vmware-usbarbitator64
- VSNAPVSS
- vss
- wrapper
- WSBExchange
- YooBackup
- YooIT
- zhudongfangyu
マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。
- 360doctor
- 360se
- acwebbrowser
- ADExplorer
- ADExplorer64
- ADExplorer64a
- Adobe CEF
- Adobe Desktop Service
- AdobeCollabSync
- AdobeIPCBroker
- agntsvc
- AutodeskDesktopApp
- Autoruns
- Autoruns64
- Autoruns64a
- Autorunsc
- Autorunsc64
- Autorunsc64a
- avz
- axlbridge
- bedbh
- benetns
- bengien
- beserver
- BrCcUxSys
- BrCtrlCntr
- CagService
- CoreSync
- Creative Cloud
- Culture
- dbeng50
- dbsnmp
- Defwatch
- DellSystemDetect
- dumpcap
- encsvc
- EnterpriseClient
- excel
- fbguard
- fbserver
- fdhost
- fdlauncher
- GDscan
- GlassWire
- GWCtlSrv
- Helper
- httpd
- infopath
- InputPersonalization
- isqlplussvc
- j0gnjko1
- java
- koaly-exp-engine-service
- msaccess
- MsDtSrvr
- mspub
- mydesktopqos
- mydesktopservice
- mysqld
- node
- notepad
- notepad++
- ocautoupds
- ocomm
- ocssd
- onenote
- ONENOTEM
- oracle
- outlook
- powerpnt
- ProcessHacker
- Procexp
- Procexp64
- procexp64a
- procmon
- procmon64
- procmon64a
- pvlsvr
- QBDBMgr
- QBDBMgrN
- QBIDPService
- qbupdate
- QBW32
- Raccine
- Raccine_x86
- RaccineElevatedCfg
- RaccineSettings
- RAgui
- raw_agent_svc
- RdrCEF
- RTVscan
- sam
- Simply
- SimplyConnectionManager
- sqbcoreservice
- sqlbrowser
- sqlmangr
- Sqlservr
- Ssms
- steam
- supervise
- sync-taskbar
- synctime
- sync-worker
- Sysmon
- Sysmon64
- SystemExplorer
- SystemExplorerService
- SystemExplorerService64
- SystemTrayIcon
- tbirdconfig
- tcpview
- tcpview64
- tcpview64a
- tdsskiller
- TeamViewer
- TeamViewer_Service
- thebat
- thunderbird
- TitanV
- tomcat6
- Totalcmd
- Totalcmd64
- tv_w32
- tv_x64
- VeeamDeploymentSvc
- visio
- vsnapvss
- vxmon
- wdswfsafe
- winword
- WireShark
- wordpad
- wsa_service
- wxServer
- wxServerView
- xfssvccon
- ZhuDongFangYu
その他
マルウェアは、以下のレジストリキーを追加します。
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
.lockbit
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
.lockbit\DefaultIcon
HKEY_CURRENT_USER\Software\FA0C50E256FCBA
マルウェアは、以下を実行します。
- It has the capability to print the ransom note in infected machines.
- It encrypts files found in the following drive types:
- Fixed drive
- Removable drive
- Network drive
- RAM Disks
マルウェアは、以下のパラメータを受け取ります。
- {File Name or File Path to Encrypt} → if unspecified, the malware will infect all files except for the avoided ones.
ランサムウェアの不正活動
マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。
- autorun.inf
- bootsect.bak
- iconcache.db
- ntldr
- ntuser.dat.log
- restore-my-files.txt
- thumbs.db
マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。
- $recycle.bin
- $windows.~bt
- $windows.~ws
- all users
- appdata
- application data
- boot
- common files
- intel
- internet explorer
- microsoft
- microsoft shared
- microsoft.net
- mozilla
- msbuild
- msocache
- opera
- perflog
- system volume information
- tor browser
- windows
- windows defender
- windows journal
- windows media player
- windows nt
- windows photo viewer
- windows security
- windows.old
- windowsapps
- windows powershell
マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。
- .lockbit
マルウェアは、以下の内容を含む脅迫状のテキストファイルを残します。
- {Encrypted Directory}\Restore-My-Files.txt
以下のファイル拡張子を持つファイルについては暗号化しません:
- .386
- .adv
- .ani
- .apk
- .app
- .bat
- .bin
- .cmd
- .com
- .cpl
- .cur
- .dacpac
- .db-shm
- .diagcab
- .diagcfg
- .diagpkg
- .dll
- .dmg
- .dmp
- .drv
- .exe
- .fnt
- .fon
- .gadget
- .hlp
- .hta
- .icns
- .ico
- .ics
- .idx
- .ini
- .ipa
- .iso
- .key
- .lnk
- .lock
- .lockbit
- .mod
- .mp3
- .mp4
- .mpa
- .mrg
- .msc
- .msi
- .msp
- .msstyles
- .msu
- .nls
- .ocx
- .otf
- .part
- .pif
- .prf
- .rdp
- .reg
- .rom
- .rtp
- .sfcache
- .shs
- .spl
- .sys
- .theme
- .tmp
- .ttf
- .wad
- .wav
- .wma
- .woff
- .wpx
- .xex
<補足>
インストール
マルウェアは、以下のファイルを作成します。
- %System%\{ランダム}.ico → 暗号化されたファイル用のアイコン
- {ドライブ}\{ランダム}.lock → 後に削除される
マルウェアは、以下のプロセスを追加します。
- "%System%\cmd.exe" /c vssadmin delete shadows /all /quiet & wmic shadowcopy delete & bcdedit /set {デフォルト} bootstatuspolicy ignoreallfailures & bcdedit /set {デフォルト} recoveryenabled no
その他
マルウェアは、以下を実行します。
- マルウェアは、感染したコンピュータ内で身代金要求文書(脅迫状)を表示する機能を備えています。
- マルウェアは、以下のドライブ内で見つかったファイルを暗号化します。
- 固定ドライブ
- リムーバブルドライブ
- ネットワークドライブ
- RAMディスク
マルウェアは、以下のパラメータを受け取ります。
- {暗号化するファイル名またはファイルパス} → 指定がない場合、マルウェアは回避対象ファイルを除くすべてのファイルに感染します。
マルウェアは、以下の内容を含む脅迫状のテキストファイルを残します。
- {暗号化されたディレクトリ}\Restore-My-Files.txt
対応方法
手順 1
トレンドマイクロの機械学習型検索は、マルウェアの存在を示す兆候が確認された時点で検出し、マルウェアが実行される前にブロックします。機械学習型検索が有効になっている場合、弊社のウイルス対策製品はこのマルウェアを以下の機械学習型検出名として検出します。
- TROJ.Win32.TRX.XXPE50FFF058
手順 2
Windows 7、Windows 8、Windows 8.1、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 3
このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム(OS)の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル/フォルダ/レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。
手順 4
Windowsをセーフモードで再起動します。
手順 5
このレジストリ値を削除します。
警告:レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- {030CECE2-5656-7371-75BA-756A705801B8} = {Malware Path and Name}.exe
- {030CECE2-5656-7371-75BA-756A705801B8} = {Malware Path and Name}.exe
- In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.lockbit\DefaultIcon
- {Default} = %System%\{random}.ico
- {Default} = %System%\{random}.ico
- In HKEY_CURRENT_USER\Software\FA0C50E256FCBA
- Private = {Generated Session Key}
- Private = {Generated Session Key}
- In HKEY_CURRENT_USER\Software\FA0C50E256FCBA
- Public = {Generated Session Key}
- Public = {Generated Session Key}
手順 6
このレジストリキーを削除します。
警告:レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。
- In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
- .lockbit
- .lockbit
- In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
- .lockbit\DefaultIcon
- .lockbit\DefaultIcon
- In HKEY_CURRENT_USER\Software\
- FA0C50E256FCBA
- FA0C50E256FCBA
手順 7
以下のファイルを検索し削除します。
- {Encrypted Directory}\Restore-My-Files.txt
手順 8
コンピュータを通常モードで再起動し、最新のバージョン(エンジン、パターンファイル)を導入したウイルス対策製品を用い、「Ransom.Win32.LOCKBIT.ENU」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
手順 9
暗号化されたファイルをバックアップから復元します。
ご利用はいかがでしたか? アンケートにご協力ください