Ransom.Win32.STRIKED.A

2018年10月30日

解析者: Robert Nicole Malagad

プラットフォーム:

Windows

危険度:

ダメージ度:

感染力:

感染確認数:

情報漏えい:

マルウェアタイプ: 身代金要求型不正プログラム（ランサムウェア）
破壊活動の有無: なし
暗号化: はい
感染報告の有無: はい

概要

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、Ｅメールアカウント情報を収集します。マルウェアは、システム情報を収集します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

詳細

ファイルサイズ 4,947,856 bytes

タイプ EXE

メモリ常駐はい

発見日 2017年7月12日

ペイロード情報収集, プロセスの強制終了, URLまたはIPアドレスに接続, メッセージボックスの表示, ファイルの暗号化

侵入方法

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

{Encrypted File Directory}\README_DECRYPT.html

情報漏えい

マルウェアは、Ｅメールアカウント情報を収集します。

マルウェアは、システム情報を収集します。

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

http://{BLOCKED}.{BLOCKED}.83.47/genree.php
http://{BLOCKED}.{BLOCKED}.231.201:3129
http://{BLOCKED}.{BLOCKED}.146.153:8080
http://{BLOCKED}.{BLOCKED}.246.144:8080
http://{BLOCKED}.{BLOCKED}.132.75:8080
http://{BLOCKED}.{BLOCKED}.216.134:80
http://{BLOCKED}.{BLOCKED}.216.135:80
http://{BLOCKED}.{BLOCKED}.171.51:800
http://{BLOCKED}.{BLOCKED}.136.34:80
http://{BLOCKED}.{BLOCKED}.136.34:8080
http://{BLOCKED}.{BLOCKED}.136.34:81
http://{BLOCKED}.{BLOCKED}.17.132:8081
http://{BLOCKED}.{BLOCKED}.9.136:80
http://{BLOCKED}.{BLOCKED}.94.144:8080
http://{BLOCKED}.{BLOCKED}.228.61:8080
http://{BLOCKED}.{BLOCKED}.88.120:53281
http://{BLOCKED}.{BLOCKED}.242.94:80
http://{BLOCKED}.{BLOCKED}.76.30:80
http://{BLOCKED}.{BLOCKED}.76.30:8090
http://{BLOCKED}.{BLOCKED}.117.243:8080
http://{BLOCKED}.{BLOCKED}.83.214:8080
http://{BLOCKED}.{BLOCKED}.30.241:80
http://{BLOCKED}.{BLOCKED}.151.90:8080
http://{BLOCKED}.{BLOCKED}.19.130:8080
http://{BLOCKED}.{BLOCKED}.238.10:3128
http://{BLOCKED}.{BLOCKED}.238.10:8080
http://{BLOCKED}.{BLOCKED}.51.165:8080
http://{BLOCKED}.{BLOCKED}.246.26:3128
http://{BLOCKED}.{BLOCKED}.0.244:8080
http://{BLOCKED}.{BLOCKED}.0.245:80
http://{BLOCKED}.{BLOCKED}.234.43:8080
http://{BLOCKED}.{BLOCKED}.61.29:3128
http://{BLOCKED}.{BLOCKED}.61.29:80
http://{BLOCKED}.{BLOCKED}.61.29:8080
http://{BLOCKED}.{BLOCKED}.61.29:8799
http://{BLOCKED}.{BLOCKED}.161.28:53281
http://{BLOCKED}.{BLOCKED}.94.97:8081
http://{BLOCKED}.{BLOCKED}.127.35:8888
http://{BLOCKED}.{BLOCKED}.145.9:53281
http://{BLOCKED}.{BLOCKED}.226.67:3128
http://{BLOCKED}.{BLOCKED}.117.248:53281
http://{BLOCKED}.{BLOCKED}.228.244:80
http://{BLOCKED}.{BLOCKED}.223.39:8080
http://{BLOCKED}.{BLOCKED}.86.134:8081
http://{BLOCKED}.{BLOCKED}.251.27:80
http://{BLOCKED}.{BLOCKED}.251.70:80
http://{BLOCKED}.{BLOCKED}.124.10:8080
http://{BLOCKED}.{BLOCKED}.57.139:8080
http://{BLOCKED}.{BLOCKED}.16.250:3128
http://{BLOCKED}.{BLOCKED}.191.85:8888
http://{BLOCKED}.{BLOCKED}.135.184:8080

ランサムウェアの不正活動

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

#rap@mortalkombat.top#id#{ID Number}

対応方法

対応検索エンジン: 9.850

初回 VSAPI パターンバージョン 14.594.05

初回 VSAPI パターンリリース日 2018年10月29日

VSAPI OPR パターンバージョン 14.595.00

VSAPI OPR パターンリリース日 2018年10月30日

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

「Ransom.Win32.STRIKED.A」で検出したファイル名を確認し、そのファイルを終了します。

[ 詳細 ]

すべての実行中プロセスが、Windows のタスクマネージャに表示されない場合があります。この場合、"Process Explorer" などのツールを使用しマルウェアのファイルを終了してください。"Process Explorer" については、こちらをご参照下さい。
検出ファイルが、Windows のタスクマネージャまたは "Process Explorer" に表示されるものの、削除できない場合があります。この場合、コンピュータをセーフモードで再起動してください。
セーフモードについては、こちらをご参照下さい。
検出ファイルがタスクマネージャ上で表示されない場合、次の手順にお進みください。

手順 3

以下のファイルを検索し削除します。

[ 詳細 ]

コンポーネントファイルが隠しファイル属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。

{Encrypted File Directory}\README_DECRYPT.html

手順 4

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「Ransom.Win32.STRIKED.A」と検出したファイルはすべて削除してください。検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

ご利用はいかがでしたか？　アンケートにご協力ください