![Trend Micro Security](https://www.trendmicro.com/content/dam/trendmicro/global/en/global/logo/logo-desktop.png)
Ransom.Win64.ABYSSLOCKER.YPEDR
Ransom:Win32/Babuk.MAK!MTB (MICROSOFT)
Windows
![](/vinfo/imgFiles/JPlegend.jpg)
- マルウェアタイプ: 身代金要求型不正プログラム(ランサムウェア)
- 破壊活動の有無: なし
- 暗号化: なし
- 感染報告の有無: はい
概要
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。
詳細
侵入方法
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
インストール
マルウェアは、以下のファイルを作成します。
- {malware directory}/work.log
- %User Temp%\readme.bmp → desktop wallpaper ransom
(註:%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\<ユーザー名>\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\<ユーザ名>\AppData\Local\Temp" です。)
マルウェアは、以下のプロセスを追加します。
- vssadmin.exe delete shadows /all /quiet
- wmic SHADOWCOPY DELETE
- bcdedit / set{ default } recoveryenabled No
- bcdedit / set{ default } bootstatuspolicy ignoreallfailures
マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。
- DontWorryBeHappy
他のシステム変更
マルウェアは、以下のレジストリ値を変更し、デスクトップの壁紙を変更します。
HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %User Temp%\readme.bmp
プロセスの終了
マルウェアは、感染コンピュータ上で確認した以下のサービスを終了します。
- MSSQLServerADHelper100
- MSSQL$ISARS
- MSSQL$MSFW
- SQLAgent$ISARS
- SQLAgent$MSFW
- SQLBrowser
- ReportServer$ISARS
- SQLWriter
- WinDefend
- mr2kserv
- MSExchangeADTopology
- MSExchangeFBA
- MSExchangeIS
- MSExchangeSA
- ShadowProtectSvc
- SPAdminV4
- SPTimerV4
- SPTraceV4
- SPUserCodeV4
- SPWriterV4
- SPSearch4
- IISADMIN
- firebirdguardiandefaultinstance
- ibmiasrw
- QBCFMonitorService
- QBVSS
- QBPOSDBServiceV12
- IBM Domino Server (CProgramFilesIBMDominodata)
- IBM Domino Diagnostics (CProgramFilesIBMDomino)
- Simply Accounting Database Connection Manager
- QuickBooksDB1
- QuickBooksDB2
- QuickBooksDB3
- QuickBooksDB4
- QuickBooksDB5wrapper
- DefWatch
- ccEvtMgr
- ccSetMgr
- SavRoamSqlservr
- sqlagent
- sqladhlp
- Culserver
- RTVscansqlbrowser
- SQLADHLP
- QBIDPService
- IntuitQuickBooksFCS
- msmdsrv
- tomcat6
- zhudongfangyu
- vmware - usbarbitator64
- vmware - converter
- dbsrv12
- dbeng8
- MSSQL$MICROSOFT##WID
- MSSQL$VEEAMSQL2012
- SQLAgent$VEEAMSQL2012
- FishbowlMySQ
- MySQL57MSSQL$KAV_CS_ADMIN_KIT
- SQLAgent$KAV_CS_ADMIN_KIT
- msftesql - Exchange
- MSSQL$MICROSOFT##SSEE
- MSSQL$SBSMONITORING
- MSSQL$SHAREPOINT
- MSSQLFDLauncher$SBSMONITORING
- MSSQLFDLauncher$SHAREPOINT
- SQLAgent$SBSMONITORING
- SQLAgent$SHAREPOINT
- QBFCService
- YooBackup
- YooIT
- vsssqlsvc$
- MSSQL
- MSSQL$
- memtas
- mepocs
- sophos
- veeam
- backup
- bedbg
- PDVFSService
- BackupExecVSSProvider
- BackupExecAgentAccelerator
- BackupExecAgentBrowser
- BackupExecDiveciMediaService
- BackupExecJobEngine
- BackupExecManagementService
- BackupExecRPCService
- MVArmorMVarmor64
- stc_raw_agent
- VSNAPVSS
- VeeamTransportSvc
- VeeamDeploymentService
- VeeamNFSSvc
- AcronisAgent
- ARSM
- AcrSch2Svc
- CASAD2DWebSvc
- CAARCUpdateSvc
- WSBExchange
- MSExchange
- MSExchange$GxVss
- GxBlr
- GxFWD
- GxCVD
- GxCIMgr
マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。
- 360doctor.exe
- 360se.exe
- ADExplorer.exe
- ADExplorer64.exe
- ADExplorer64a.exe
- Adobe CEF.exe
- Adobe Desktop Service.exe
- AdobeCollabSync.exe
- AdobeIPCBroker.exe
- AutodeskDesktopApp.exe
- Autoruns.exe
- Autoruns64.exe
- Autoruns64a.exe
- Autorunsc.exe
- Autorunsc64.exe
- Autorunsc64a.exe
- AvastUI.exe
- BrCcUxSys.exe
- BrCtrlCntr.exe
- CNTAoSMgr.exe
- CagService.exe
- CoreSync.exe
- Creative Cloud.exe
- Culture.exe
- Defwatch.exe
- DellSystemDetect.exe
- EnterpriseClient.exe
- GDscan.exe
- GWCtlSrv.exe
- GlassWire.exe
- Helper.exe
- InputPersonalization.exe
- MsDtSrvr.exe
- MsDtsSrvr.exe
- MsMpEng.exe
- ONENOTEM.exe
- PccNTMon.exe
- ProcessHacker.exe
- Procexp.exe
- Procexp64.exe
- QBDBMgr.exe
- QBDBMgrN.exe
- QBIDPService.exe
- QBW32.exe
- RAgui.exe
- RTVscan.exe
- Raccine.exe
- RaccineElevatedCfg.exe
- RaccineSettings.exe
- Raccine_x86.exe
- RdrCEF.exe
- ReportingServicesService.exe
- SQLAGENT.EXE
- Simply.SystemTrayIcon.exe
- SimplyConnectionManager.exe
- Sqlservr.exe
- Ssms.exe
- Sysmon.exe
- Sysmon64.exe
- SystemExplorer.exe
- SystemExplorerService.exe
- SystemExplorerService64.exe
- TMBMSRV.exe
- TeamViewer.exe
- TeamViewer_Service.exe
- TitanV, Ssms.exe
- TmCCSF.exe
- TmListen.exe
- TmPfw.exe
- TmProxy.exe
- Totalcmd.exe
- Totalcmd64.exe
- VeeamDeploymentSvc.exe
- WRSA.exe
- WireShark.exe
- ZhuDongFangYu.exe
- acwebbrowser.exe
- agntsvc.exe
- avp.exe
- avz.exe
- axlbridge.exe
- bedbh.exe
- benetns.exe
- bengien.exe
- beserver.exe
- dbeng50.exe
- dbsnmp.exe
- dumpcap.exe
- egui.exe
- encsvc.exe
- excel.exe
- fbguard.exe
- fbserver.exe
- fdhost.exe
- fdlauncher.exe
- firefox.exe
- httpd.exe
- infopath.exe
- isqlplussvc.exe
- j0gnjko1.exe
- java.exe
- msaccess.exe
- msftesql.exe
- msmdsrv.exe
- mspub.exe
- mydesktopqos.exe
- mydesktopservice.exe
- mysqld.exe
- node.exe
- notepad++.exe
- notepad.exe
- ntrtscan.exe
- ocautoupds.exe
- ocomm.exe
- ocssd.exe
- onenote.exe
- oracle.exe
- outlook.exe
- pg_ctl.exe
- postgres.exe
- powerpnt.exe
- procexp64a.exe
- procmon.exe
- procmon64.exe
- procmon64a.exe
- pvlsvr.exe
- qbupdate.exe
- raw_agent_svc.exe
- sam.exe
- sqbcoreservice.exe
- sql.exe
- sqlbrowser.exe
- sqlceip.exe
- sqlmangr.exe
- sqlservr.exe
- sqlwriter.exe
- steam.exe
- supervise.exe
- synctime.exe
- tbirdconfig.exe
- tcpview.exe
- tcpview64.exe
- tcpview64a.exe
- tdsskiller.exe
- thebat.exe
- thunderbird.exe
- tomcat6.exe
- tv_w32.exe
- tv_x64.exe
- visio.exe
- vsnapvss.exe
- vxmon.exe
- wdswfsafe.exe
- winword.exe
- wordpad.exe
- wsa_service.exe
- wxServer.exe
- wxServerView.exe
- xfssvccon.exe
その他
マルウェアは、以下を実行します。
- It empties the recycle bin of the affected system.
- Avoids encrypting the following network shares:
- ADMIN$
- IPC$
マルウェアは、以下のパラメータを受け取ります。
- console → displays console
- filelog → drops the file work.log
- paths {path to encrypt} → encrypts a specified path
- shares → encrypts network shares
ランサムウェアの不正活動
マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。
- work.log
- autorun.inf
- boot.ini
- bootfont.bin
- bootsect.bak
- bootmgr
- bootmgr.efi
- bootmgfw.efi
- desktop.ini
- iconcache.db
- ntldr
- ntuser.dat
- ntuser.dat.log
- ntuser.ini
- thumbs.db
- !CryptoLockerDetectionDONT-DELETE!.jpg
- WhatHappened.txt
マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。
- Boot
- Windows
- Windows.old
- $Windows.~bt
- $windows.~ws
- windows nt
- msbuild
- microsoft
- perflog
- microsoft.net
- microsoft shared
- common files
- windows defender
- windowspowershell
- windows security
- usoshared
- windowsapp
- windows journal
- windows photo viewer
- $Recycle.Bin
- All Users
- Program Files
- Program Files (x86)
- system volume information
- msocache
- Tor Browser
- Internet Explorer
- Opera
- Opera Software
- Mozilla
- Mozilla Firefox
- #recycle
マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。
- {original filename}.{original extension}.Abyss
マルウェアが作成する以下のファイルは、脅迫状です。
- {encrypted directory}/WhatHappened.txt
以下のファイル拡張子を持つファイルについては暗号化しません:
- .Abyss
- .386
- .cmd
- .ani
- .adv
- .msi
- .msp
- .com
- .nls
- .ocx
- .mpa
- .cpl
- .mod
- .hta
- .prf
- .rtp
- .rpd
- .bin
- .hlp
- .shs
- .drv
- .wpx
- .bat
- .rom
- .msc
- .spl
- .msu
- .ics
- .key
- .exe
- .dllv
- .lnk
- .icov
- .hlp
- .sys
- .drv
- .cur
- .idx
- .ini
- .reg
- .mp3
- .mp4
- .apk
- .ttf
- .otf
- .fon
- .fnt
- .dmp
- .tmp
- .pif
- .wav
- .wma
- .dmg
- .iso
- .app
- .ipa
- .xex
- .wad
- .msu
- .icns
- .lock
- .theme
- .diagcfg
- .blf
- .diagcab
- .diagpkg
- .msstyles
- .gadget
- .woff
- .part
- .sfcache
- .winmd
対応方法
手順 1
トレンドマイクロの機械学習型検索は、マルウェアの存在を示す兆候が確認された時点で検出し、マルウェアが実行される前にブロックします。機械学習型検索が有効になっている場合、弊社のウイルス対策製品はこのマルウェアを以下の機械学習型検出名として検出します。
- TROJ.Win32.TRX.XXPE50FFF079
手順 2
Windows 7、Windows 8、Windows 8.1、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 3
このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム(OS)の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル/フォルダ/レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。
手順 4
このレジストリ値を削除します。
警告:レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。
- In HKEY_CURRENT_USER\Control Panel\Desktop
- Wallpaper = %User Temp%\readme.bmp
- Wallpaper = %User Temp%\readme.bmp
手順 5
以下のファイルを検索し削除します。
- {malware directory}/work.log
- %User Temp%\readme.bmp
手順 6
最新のバージョン(エンジン、パターンファイル)を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「Ransom.Win64.ABYSSLOCKER.YPEDR」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
手順 7
暗号化されたファイルをバックアップから復元します。
ご利用はいかがでしたか? アンケートにご協力ください