Trend Micro Security

RANSOM_CRYPTWELVE.B

2018年2月15日
 解析者: Mio Fidel Villena   

 別名:

Ransom.CryptXXX (NORTON), TR/RedCap.khogd (ANTIVIR), Ransom:MSIL/Natiris.A (MICROSOFT)

 プラットフォーム:

Windows

 危険度:
 ダメージ度:
 感染力:
 感染確認数:
 情報漏えい:


  • マルウェアタイプ: 身代金要求型不正プログラム(ランサムウェア)
  • 破壊活動の有無: なし
  • 暗号化: なし
  • 感染報告の有無: はい

  概要

感染経路 他のマルウェアからの作成

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。


  詳細

ファイルサイズ 124,928 bytes
タイプ EXE
メモリ常駐 なし
発見日 2017年11月27日
ペイロード ファイルの作成, メッセージボックスの表示

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

  • %User Temp%\wallpaper.bmp
  • %Desktop%\sys.bat <-used to terminate the ransomware

(註:%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\<ユーザー名>\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\<ユーザ名>\AppData\Local\Temp" です。.. %Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\<ユーザ名>\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\<ユーザ名>\Desktop" です。.)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

  • KristinaCS

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %User Temp%\wallpaper.bmp

マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。

ランサムウェアの不正活動

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

  • .crypt12
  • .tmp
  • .sep
  • .tlb
  • .tbl
  • .tsp
  • .cmd
  • .ax
  • .olb
  • .com
  • .acm
  • .edb
  • .ini
  • .exe
  • .386
  • .73u
  • .8xu
  • .adm
  • .adml
  • .admx
  • .ani
  • .ann
  • .aos
  • .asec
  • .bio
  • .bk2
  • .blf
  • .bmk
  • .bud
  • .cab
  • .cdmp
  • .chs
  • .ci
  • .cnt
  • .cpi
  • .cpl
  • .cpq
  • .cur
  • .desklink
  • .deskthemepack
  • .dev
  • .diagcab
  • .diagcfg
  • .diagpkg
  • .dimax
  • .dit
  • .drv
  • .dss
  • .dyc
  • .ebd
  • .efi
  • .evtx
  • .ffa
  • .ffl
  • .ffo
  • .ffx
  • .ftg
  • .fts
  • .gmmp
  • .grl
  • .group
  • .grp
  • .h1s
  • .hdmp
  • .hhc
  • .hhk
  • .hiv
  • .hlp
  • .hpj
  • .hsh
  • .htt
  • .icl
  • .icns
  • .ico
  • .idi
  • .ifw
  • .ime
  • .img3
  • .inf_loc
  • .ins
  • .ion
  • .ipod
  • .itemdata-ms
  • .its
  • .jpn
  • .kbd
  • .key
  • .kor
  • .library-ms
  • .lnk
  • .log1
  • .log2
  • .lpd
  • .manifest
  • .mapimail
  • .mdmp
  • .mi4
  • .mlc
  • .mobileconfig
  • .msc
  • .msp
  • .msstyle
  • .msstyles
  • .mui
  • .mui_cccd5ae0
  • .mum
  • .mydocs
  • .nb0
  • .nbh
  • .nfo
  • .nls
  • .nt
  • .ntfs
  • .p7b
  • .pck
  • .pdr
  • .pfx
  • .pid
  • .pk2
  • .pol
  • .ppd
  • .prefpane
  • .prf
  • .printerexport
  • .ps2
  • .pwl
  • .rc1
  • .rc2
  • .rco
  • .reg
  • .regtrans-ms
  • .rfw
  • .rmt
  • .rs
  • .ruf
  • .savedsearch
  • .sbn
  • .scap
  • .scf
  • .scr
  • .shd
  • .shsh
  • .swp
  • .sys
  • .tdz
  • .tha
  • .theme
  • .trx_dll
  • .uce
  • .vga
  • .vgd
  • .vx_
  • .vxd
  • .webpnp
  • .wer
  • .wph
  • .wpx
  • .xfb
  • .xrm-ms
  • .dat
  • .db
  • .dll
  • .dmp
  • .ics
  • .mod
  • .mpa
  • .msu
  • .nomedia
  • .ocx
  • .ps1
  • .rom
  • .rtp
  • .shs
  • .spl
  • .themepack
  • .0
  • .000
  • .amlv
  • .automaticdestinations-ms
  • .bashrc
  • .bash_history
  • .bash_profile
  • .bin
  • .bk1
  • .bom
  • .c32
  • .cat
  • .cgz
  • .chg
  • .chk
  • .cht
  • .clb
  • .cpr
  • .crash
  • .dlx
  • .dvd
  • .edj
  • .elf
  • .emerald
  • .etl
  • .evt
  • .fid
  • .fpbf
  • .help
  • .idx
  • .ius
  • .job
  • .lfs
  • .lockfile
  • .lst
  • .mbr
  • .mem
  • .metadata_never_index
  • .panic
  • .pat
  • .pit
  • .pnf
  • .ppm
  • .profile
  • .prt
  • .qvm
  • .saver
  • .sbf
  • .schemas
  • .sdb
  • .searchconnector-ms
  • .sfcache
  • .so.0
  • .sqm
  • .str
  • .wdf
  • .wdgt
  • .wgz
  • .zone.identifier

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

  • D:\owncloud
  • D:\gdrive

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

  • ={Random 5 Digit Number}=hello@boomfile.ru.crypt12

マルウェアが作成する以下のファイルは、脅迫状です。

  • {Folder Path of Encrypted Files}\!!!!readme!!!.txt


  対応方法

対応検索エンジン: 9.850
初回 VSAPI パターンバージョン 13.810.08
初回 VSAPI パターンリリース日 2017年11月28日
VSAPI OPR パターンバージョン 13.811.00
VSAPI OPR パターンリリース日 2017年11月29日

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム(OS)の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル/フォルダ/レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 3

デスクトッププロパティを修正します。

[ 詳細 ]

手順 4

以下のファイルを検索し削除します。

[ 詳細 ]
コンポーネントファイルが隠しファイル属性の場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • %User Temp%\wallpaper.bmp
  • {Folder Path of Encrypted Files}\!!!!readme!!!.txt

手順 5

最新のバージョン(エンジン、パターンファイル)を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「RANSOM_CRYPTWELVE.B」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。


ご利用はいかがでしたか? アンケートにご協力ください