Ransom.Win32.RADAMCRYPT.A
Ransom:Win32/Radamcrypt.A (MICROSOFT); Trojan-Ransom.Win32.Radam.d (KASPERSKY)
Windows
- マルウェアタイプ: 身代金要求型不正プログラム（ランサムウェア）
- 破壊活動の有無: なし
- 暗号化:
- 感染報告の有無: はい
概要
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。
ただし、情報公開日現在、このWebサイトにはアクセスできません。
詳細
侵入方法
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
インストール
マルウェアは、以下のコンポーネントファイルを作成します。
- aaa.bat = used to delete original copy
マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。
- Radamant_v1_Klitschko_number_one
自動実行方法
マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
svchost = {full malware path and filename}
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
svchost = {full malware path and filename}
バックドア活動
マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。
- {BLOCKED}.{BLOCKED}.202.192
- {BLOCKED}.{BLOCKED}.80.28
- {BLOCKED}.{BLOCKED}.97.93
その他
マルウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。
- checkip.dyndns.org
マルウェアは、以下の不正なWebサイトにアクセスします。
- {BLOCKED}d.pw/ld/id=2d302105104a17b023f118c20f22758c - contains the ransomnote
マルウェアは、以下の拡張子をもつファイルを暗号化します。
- 1cd
- dbf
- dt
- cf
- cfu
- mxl
- epf
- kdbx
- erf
- vrp
- grs
- geo
- st
- pff
- mft
- efd
- 3dm
- 3ds
- rib
- ma
- sldasm
- sldprt
- max
- blend
- lwo
- lws
- m3d
- mb
- obj
- x
- x3d
- movie.byu
- c4d
- fbx
- dgn
- dwg
- 4db
- 4dl
- 4mp
- abs
- accdb
- accdc
- accde
- accdr
- accdt
- accdw
- accft
- adn
- a3d
- adp
- aft
- ahd
- alf
- ask
- awdb
- azz
- bdb
- bib
- bnd
- bok
- btr
- bak
- backup
- cdb
- ckp
- clkw
- cma
- crd
- daconnections
- dacpac
- dad
- dadiagrams
- daf
- daschema
- db
- db-shm
- db-wal
- db2
- db3
- dbc
- dbk
- dbs
- dbt
- dbv
- dbx
- dcb
- dct
- dcx
- ddl
- df1
- dmo
- dnc
- dp1
- dqy
- dsk
- dsn
- dta
- dtsx
- dxl
- eco
- ecx
- edb
- emd
- eql
- fcd
- fdb
- fic
- fid
- fil
- fm5
- fmp
- fmp12
- fmpsl
- fol
- fp3
- fp4
- fp5
- fp7
- fpt
- fpt
- fzb
- fzv
- gdb
- gwi
- hdb
- his
- ib
- idc
- ihx
- itdb
- itw
- jtx
- kdb
- lgc
- maq
- mdb
- mdbhtml
- mdf
- mdn
- mdt
- mrg
- mud
- mwb
- s3m
- myd
- ndf
- ns2
- ns3
- ns4
- nsf
- nsf
- nv2
- nyf
- oce
- odb
- oqy
- ora
- orx
- owc
- owg
- oyx
- p96
- p97
- pan
- pdb
- pdb
- pdb
- pdm
- phm
- pnz
- pth
- pwa
- qpx
- qry
- qvd
- rctd
- rdb
- rpd
- rsd
- sbf
- sdb
- sdb
- sdb
- sdf
- spq
- sqb
- stp
- sql
- sqlite
- sqlite3
- sqlitedb
- str
- tcx
- tdt
- te
- teacher
- tmd
- trm
- udb
- usr
- v12
- vdb
- vpd
- wdb
- wmdb
- xdb
- xld
- xlgc
- zdb
- zdc
- cdr
- cdr3
- ppt
- pptx
- 1st
- abw
- act
- aim
- ans
- apt
- asc
- ascii
- ase
- aty
- awp
- awt
- aww
- bad
- bbs
- bdp
- bdr
- bean
- bib
- bna
- boc
- btd
- bzabw
- chart
- chord
- cnm
- crd
- crwl
- cyi
- dca
- dgs
- diz
- dne
- doc
- doc
- docm
- docx
- docxml
- docz
- dot
- dotm
- dotx
- dsv
- dvi
- dx
- eio
- eit
- emlx
- epp
- err
- err
- etf
- etx
- euc
- fadein
- faq
- fb2
- fbl
- fcf
- fdf
- fdr
- fds
- fdt
- fdx
- fdxt
- fes
- fft
- flr
- fodt
- fountain
- gtp
- frt
- fwdn
- fxc
- gdoc
- gio
- gio
- gpn
- gsd
- gthr
- gv
- hbk
- hht
- hs
- htc
- hwp
- hz
- idx
- iil
- ipf
- jarvis
- jis
- joe
- jp1
- jrtf
- kes
- klg
- klg
- knt
- kon
- kwd
- latex
- lbt
- lis
- lit
- lnt
- lp2
- lrc
- lst
- lst
- ltr
- ltx
- lue
- luf
- lwp
- lxfml
- lyt
- lyx
- man
- map
- mbox
- md5txt
- me
- mell
- min
- mnt
- msg
- mwp
- nfo
- njx
- notes
- now
- nwctxt
- nzb
- ocr
- odm
- odo
- odt
- ofl
- oft
- openbsd
- ort
- ott
- p7s
- pages
- pfs
- pfx
- pjt
- plantuml
- prt
- psw
- pu
- pvj
- pvm
- pwi
- pwr
- qdl
- rad
- readme
- rft
- ris
- rng
- rpt
- rst
- rt
- rtd
- rtf
- rtx
- run
- rzk
- rzn
- saf
- safetext
- sam
- scc
- scm
- scriv
- scrivx
- sct
- scw
- sdm
- sdoc
- sdw
- sgm
- sig
- skcard
- sla
- slagz
- sls
- smf
- sms
- ssa
- strings
- stw
- sty
- sub
- sxg
- sxw
- tab
- tdf
- tdf
- tex
- text
- thp
- tlb
- tm
- tmd
- tmv
- tmx
- tpc
- trelby
- tvj
- txt
- u3d
- u3i
- unauth
- unx
- uof
- uot
- upd
- utf8
- unity
- utxt
- vct
- vnt
- vw
- wbk
- wbk
- wcf
- webdoc
- wgz
- wn
- wp
- wp4
- wp5
- wp6
- wp7
- wpa
- wpd
- wpd
- wpl
- wps
- wps
- wpt
- wpw
- wri
- wsc
- wsd
- wsh
- wtx
- xbdoc
- xbplate
- xdl
- xdl
- xlf
- xps
- xwp
- xwp
- xwp
- xy3
- xyp
- xyw
- ybk
- yml
- zabw
- zw
- 2bp
- 0,36
- 3fr
- 0,411
- 73i
- 8xi
- 9png
- abm
- afx
- agif
- agp
- aic
- albm
- apd
- apm
- apng
- aps
- apx
- art
- artwork
- arw
- arw
- asw
- avatar
- bay
- blkrt
- bm2
- bmp
- bmx
- bmz
- brk
- brn
- brt
- bss
- bti
- c4
- cal
- cals
- can
- cd5
- cdc
- cdg
- cimg
- cin
- cit
- colz
- cpc
- cpd
- cpg
- cps
- cpx
- cr2
- ct
- dc2
- dcr
- dds
- dgt
- dib
- dicom
- djv
- djvu
- dm3
- dmi
- vue
- dpx
- wire
- drz
- dt2
- dtw
- dvl
- ecw
- eip
- erf
- exr
- fal
- fax
- fil
- fpos
- fpx
- g3
- gcdp
- gfb
- gfie
- ggr
- gif
- gih
- gim
- gmbck
- gmspr
- spr
- scad
- gpd
- gro
- grob
- hdp
- hdr
- hpi
- i3d
- icn
- icon
- icpr
- iiq
- info
- int
- ipx
- itc2
- iwi
- j
- j2c
- j2k
- jas
- jb2
- jbig
- jbig2
- jbmp
- jbr
- jfif
- jia
- jng
- jp2
- jpe
- jpeg
- jpg
- jpg2
- jps
- jpx
- jtf
- jwl
- jxr
- kdc
- kdi
- kdk
- kic
- kpg
- lbm
- ljp
- mac
- mbm
- mef
- mnr
- mos
- mpf
- mpo
- mrxs
- myl
- ncr
- nct
- nlm
- nrw
- oc3
- oc4
- oc5
- oci
- omf
- oplc
- af2
- af3
- ai
- art
- asy
- cdmm
- cdmt
- cdmtz
- cdmz
- cdt
- cgm
- cmx
- cnv
- csy
- cv5
- cvg
- cvi
- cvs
- cvx
- cwt
- cxf
- dcs
- ded
- design
- dhs
- dpp
- drw
- drw
- dxb
- dxf
- egc
- emf
- ep
- eps
- epsf
- fh10
- fh11
- fh3
- fh4
- fh5
- fh6
- fh7
- fh8
- fif
- fig
- fmv
- ft10
- ft11
- ft7
- ft8
- ft9
- ftn
- fxg
- gdraw
- gem
- glox
- gsd
- hpg
- hpgl
- hpl
- idea
- igt
- igx
- imd
- ink
- lmk
- mgcb
- mgmf
- mgmt
- mt9
- mgmx
- mgtx
- mmat
- mat
- otg
- ovp
- ovr
- pcs
- pfd
- pfv
- pl
- plt
- pm
- vrml
- pmg
- pobj
- ps
- psid
- rdl
- scv
- sk1
- sk2
- slddrt
- snagitstamps
- snagstyles
- ssk
- stn
- svf
- svg
- svgz
- sxd
- tlc
- tne
- ufr
- vbr
- vec
- vml
- vsd
- vsdm
- vsdx
- vstm
- stm
- vstx
- wmf
- wpg
- vsm
- vault
- xar
- xmind
- xmmap
- yal
- orf
- ota
- oti
- ozb
- ozj
- ozt
- pal
- pano
- pap
- pbm
- pc1
- pc2
- pc3
- pcd
- pcx
- pdd
- pdn
- pe4
- pe4
- pef
- pfi
- pgf
- pgm
- pi1
- pi2
- pi3
- pic
- pict
- pix
- pjpeg
- pjpg
- pm
- pmg
- png
- pni
- pnm
- pntg
- pop
- pp4
- pp5
- ppm
- prw
- psd
- psdx
- pse
- psp
- pspbrush
- ptg
- ptx
- ptx
- pvr
- px
- pxr
- pz3
- pza
- pzp
- pzs
- z3d
- qmg
- ras
- rcu
- rgb
- rgb
- rgf
- ric
- riff
- rix
- rle
- rli
- rpf
- rri
- rs
- rsb
- rsr
- rw2
- rwl
- s2mv
- sai
- sci
- sct
- sep
- sfc
- sfera
- sfw
- skm
- sld
- sob
- spa
- spe
- sph
- spj
- spp
- sr2
- srw
- ste
- sumo
- sva
- save
- ssfn
- t2b
- tb0
- tbn
- tex
- tfc
- tg4
- thm
- thumb
- tif
- tiff
- tjp
- tm2
- tn
- tpi
- ufo
- uga
- usertile-ms
- vda
- vff
- vpe
- vst
- wb1
- wbc
- wbd
- wbm
- wbmp
- wbz
- wdp
- webp
- wpb
- wpe
- wvl
- x3f
- y
- ysp
- zif
- cdr4
- cdr6
- rtf
- cdrw
- jpeg
- djvu
- ddoc
- css
- pptm
- raw
- cpt
- gif
- jpeg
- jpg
- jpe
- jp2
- pcx
- pdn
- png
- psd
- tga
- tiff
- tif
- hdp
- xpm
- ai
- cdr
- ps
- svg
- sai
- wmf
- emf
- ani
- apng
- djv
- flc
- fb2
- fb3
- fli
- mng
- smil
- svg
- mobi
- swf
- html
- xls
- xlsx
- csv
- xlsm
- ods
- xhtm
マルウェアは、以下を実行します。
- Encrypt files in all drives.
- After payment it shows the following:
ただし、情報公開日現在、このWebサイトにはアクセスできません。
対応方法
手順 1
トレンドマイクロの機械学習型検索は、マルウェアの存在を示す兆候が確認された時点で検出し、マルウェアが実行される前にブロックします。機械学習型検索が有効になっている場合、弊社のウイルス対策製品はこのマルウェアを以下の機械学習型検出名として検出します。
- Troj.Win32.TRX.XXPE50FFF034
手順 2
Windows XP、Windows Vista 、Windows 7、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 3
このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。
手順 4
Windowsをセーフモードで再起動します。
手順 5
このレジストリ値を削除します。
警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
- svchost = {full malware path and filename}
- svchost = {full malware path and filename}
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- svchost = {full malware path and filename}
- svchost = {full malware path and filename}
手順 6
以下のファイルを検索し削除します。
- aaa.bat
手順 7
コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「Ransom.Win32.RADAMCRYPT.A」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
手順 8
最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「Ransom.Win32.RADAMCRYPT.A」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
ご利用はいかがでしたか？ アンケートにご協力ください