Ransom_CRYPWALL.TZ

2015年11月3日

解析者: RonJay Kristoffer Caragay

別名:

Trojan.Cryptodefense (Symantec); Trojan:Win32/Bagsu!rfn (Microsoft); Trojan-Ransom.Win32.Cryptodef.aadh (Kaspersky); Win32/Filecoder.CO (ESET-NOD32); Win32:CryptoWall-AE [Trj] (Avast)

プラットフォーム:

Windows

危険度:

ダメージ度:

感染力:

感染確認数:

情報漏えい:

マルウェアタイプ: トロイの木馬型
破壊活動の有無: なし
暗号化: はい
感染報告の有無: はい

概要

感染経路インターネットからのダウンロード

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、レジストリ値を変更し、複数のシステムサービスを無効にします。これにより、システムに必要な機能が起動しません。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。マルウェアマルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成したマルウェア）を削除します。

詳細

ファイルサイズ 238,818 bytes

タイプ EXE

メモリ常駐はい

発見日 2015年10月19日

ペイロード URLまたはIPアドレスに接続, 情報収集

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

%System Root%\{random 8 characters}\{random 8 characters}.exe
%Application Data%\{random 8 characters}.exe
%User Startup%\{random 8 characters}.exe

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.. %User Startup%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" 、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、" C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。.)

マルウェアは、以下のファイルを作成します。

%User Startup%\HELP_DECRYPT.HTML
%User Startup%\HELP_DECRYPT.PNG
%User Startup%\HELP_DECRYPT.TXT
%User Startup%\HELP_DECRYPT.URL

(註：%User Startup%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" 、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、" C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。.)

マルウェアは、以下のファイルを作成し実行します。

%Desktop%\HELP_DECRYPT.HTML
%Desktop%\HELP_DECRYPT.PNG
%Desktop%\HELP_DECRYPT.TXT
%Desktop%\HELP_DECRYPT.URL

(註：%Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.)

マルウェアは、以下のプロセスを追加します。

explorer.exe
svchost.exe

マルウェアは、以下のプロセスに組み込まれ、システムのプロセスに常駐します。

created svchost.exe
created explorer.exe

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random 7 characters} = "%System Root%\{random 8 characters}\{random 8 characters}.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random 8 characters} = "%Application Data%\{random 8 characters}.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
*{random 6 characters} = "%System Root%\{random 8 characters}\{random 8 characters}.exe" (for Windows Vista and above only)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
*{random 7 characters} = "%Application Data%\{random 8 characters}.exe" (for Windows Vista and above only)

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\{UID}

HKEY_CURRENT_USER\Software\{UID}\
{random key}

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\{UID}
{random 2 characters} = "{contents of HELP_DECRYPT.URL}"

HKEY_CURRENT_USER\Software\{UID}
{random 2 characters} = "{contents of HELP_DECRYPT.TXT}"

HKEY_CURRENT_USER\Software\{UID}
{random 2 characters} = "{contents of HELP_DECRYPT.HTML}"

HKEY_CURRENT_USER\Software\{UID}
{random 2 characters} = "{RSA PUBLIC KEY}"

HKEY_CURRENT_USER\Software\{UID}\
{random key}
{Path and file of encrypted file} = "{hex values}"

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\SystemRestore
DisableSR = "1"

(註：変更前の上記レジストリ値は、「0」となります。)

マルウェアは、レジストリ値を変更し、以下のシステムサービスを無効化します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\BITS
Start = "4"

(註：変更前の上記レジストリ値は、「2」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wscsvc
Start = "4"

(註：変更前の上記レジストリ値は、「2」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ERSvc
Start = "4"

(註：変更前の上記レジストリ値は、「2」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wuauserv
Start = "4"

(註：変更前の上記レジストリ値は、「2」となります。)

情報漏えい

マルウェアは、以下の情報を収集します。

Unique Identifier (UID)
Machine Screenshot

その他

マルウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

http://ip-addr.es
http://myexternalip.com/raw
http://curlmyip.com

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

http://{BLOCKED}cc.org/4.php
http://{BLOCKED}ranslation.com/media/editors/tinymce/jscripts/tiny_mce/plugins/lists/2.php
http://{BLOCKED}ogroup.com/plugins/content/jw_sig/jw_sig/includes/js/jquery_fancybox/5.php
http://{BLOCKED}rning.com/amisonline05062015/amis4/permaswagefr/Resources/SPR-Pool/SPR0522/Resources/4.php
http://{BLOCKED}atereqpt.com/media/editors/tinymce/jscripts/tiny_mce/plugins/noneditable/3.php
http://{BLOCKED}ll.net/Old%20files/wp-content/plugins/ml-slider/assets/colorbox/images/ie6/1.php
http://{BLOCKED}pplyonline.com/plugins/system/gantry/overrides/3.0/2.5/com_weblinks/5.php
http://{BLOCKED}irtransplantbangalore.com/media/editors/tinymce/jscripts/tiny_mce/plugins/iespell/4.php
http://{BLOCKED}naforestchildcare.com/plugins/system/gantry/overrides/3.0/2.5/mod_stats/5.php
http://{BLOCKED}.eu/wp-content/themes/decoy2/redux-framework/ReduxCore/inc/fields/info/2.php
http://{BLOCKED}lcarolinasports.com/plugins/system/gantry/overrides/3.0/2.5/mod_weblinks/2.php
http://{BLOCKED}rbbom.com.br/wp-content/plugins/revslider/css/jui/old/images/5.php
http://{BLOCKED}irbahrain.com/plugins/content/jw_sig/jw_sig/tmpl/Classic/images/2.php
http://dev.{BLOCKED}a.pl/1.php
http://{BLOCKED}s.com.br/wp-content/cache/db/000000/all/225/521/5.php
http://{BLOCKED}dglassbh.com/media/editors/tinymce/jscripts/tiny_mce/plugins/layer/3.php
http://{BLOCKED}dental.com/media/editors/tinymce/jscripts/tiny_mce/plugins/bbcode/3.php
http://{BLOCKED}ster.info/components/com_fabrik/views/package/tmpl/module/images/1.php
http://{BLOCKED}rain.com/media/editors/tinymce/jscripts/tiny_mce/plugins/save/4.php
http://{BLOCKED}rim.fr/components/com_jce/editor/tiny_mce/plugins/visualblocks/css/2.php
http://{BLOCKED}t.ru/components/com_jce/editor/libraries/views/browser/tmpl/4.php
http://{BLOCKED}haccess.com/components/com_comprofiler/plugin/templates/winclassic/images/cluetip/5.php
http://{BLOCKED}atent.net/en/wp-content/themes/u-design/scripts/superfish-menu/images/4.php
http://konrad.{BLOCKED}ak.eu/1.php
http://{BLOCKED}ent-retro.ru/plugins/editors/tinymce/jscripts/tiny_mce/plugins/fullscreen/3.php
http://{BLOCKED}abrides.org.uk/wp-content/plugins/wpclef/assets/src/sass/neat/5.php
http://{BLOCKED}nsfamilyhair.com/components/com_jce/editor/extensions/popups/window/tmpl/1.php
http://{BLOCKED}tex.ru/templates/yoo_vida/warp/systems/joomla/language/sv-SE/5.php
http://{BLOCKED}-krepezha.ru/administrator/components/com_chronoforms/js/tiny_mce/plugins/autolink/2.php
http://{BLOCKED}osite.dk/wp-content/plugins/js_composer/assets/lib/prettyphoto/images/1.php
http://{BLOCKED}a.{BLOCKED}il.net/2.php
http://{BLOCKED}a.be/wp-content/plugins/sitepress-multilingual-cms/inc/installer/locale/orig/3.php
http://{BLOCKED}ebaudin.com/wp-content/themes/skylab/option-tree/assets/images/layout/2.php
http://{BLOCKED}environmental.com/components/com_jce/editor/extensions/popups/jcemediabox/css/3.php
http://{BLOCKED}man.com/wp-content/plugins/wordpress-seo/vendor/yoast/license-manager/views/1.php
http://{BLOCKED}t.com/media/editors/tinymce/jscripts/tiny_mce/plugins/spellchecker/5.php
http://{BLOCKED}ct.com/wp-content/plugins/jetpack/modules/widget-visibility/widget-conditions/rtl/3.php
http://{BLOCKED}mix.sk/wp-content/themes/Impreza/vendor/meta-box/css/jqueryui/1.php
http://{BLOCKED}ak.eu/2.php
http://{BLOCKED}byteits.com/media/coalawebsocial/plugins/quickicon/sociallinks/images/icons/4.php
http://{BLOCKED}icaven.com/templates/yoo_salt/warp/systems/joomla/language/sr-YU/1.php
http://{BLOCKED}bahrain.com/media/editors/tinymce/jscripts/tiny_mce/plugins/layer/4.php
http://{BLOCKED}products.com/components/com_rokgallery/templates/gallery/grid-3col/light/images/1.php

マルウェアは、以下の拡張子をもつファイルを暗号化します。

ce2
cer
cfp
cgm
cib
class
cls
cmt
cpi
cpp
cr2
craw
crt
crw
cs
csh
csl
csv
dac
db
db3
dbf
db-journal
dc2
dcr
dcs
ddd
ddoc
ddrw
dds
der
des
design
dgc
djvu
dng
doc
docm
docx
dot
dotm
dotx
drf
drw
dtd
dwg
dxb
dxf
dxg
eml
eps
erbsql
erf
exf
fdb
ffd
fff
fh
fhd
fla
flac
flv
fpx
fxg
gray
grey
gry
h
hbk
hpp
ibank
ibd
ibz
idx
iif
iiq
incpas
indd
java
jpe
jpeg
jpg
kc2
kdbx
kdc
key
kpdx
lua
m
m4v
max
mdb
mdc
mdf
mef
mfw
mmw
moneywell
mos
mov
mp3
mp4
mpg
mrw
msg
myd
nd
ndd
nef
nk2
nop
nrw
ns2
ns3
ns4
nsd
nsf
nsg
nsh
nwb
nx2
nxl
nyf
oab
obj
odb
odc
odf
odg
odm
odp
ods
odt
oil
orf
ost
otg
oth
otp
ots
ott
p12
p7b
p7c
pab
pages
pas
pat
pcd
pct
pdb
pdd
pdf
pef
pem
pfx
php
pl
plc
pot
potm
potx
ppam
pps
ppsm
ppsx
ppt
pptm
pptx
prf
ps
psafe3
psd
pspimage
pst
ptx
py
qba
qbb
qbm
qbr
qbw
qbx
qby
r3d
raf
rar
rat
raw
rdb
rm
rtf
rw2
rwl
rwz
s3db
sas7bdat
say
sd0
sda
sdf
sldm
sldx
sql
sqlite
sqlite3
sqlitedb
sr2
srf
srt
srw
st4
st5
st6
st7
st8
std
sti
stw
stx
svg
swf
sxc
sxd
sxg
sxi
sxi
sxm
sxw
tex
tga
thm
tlg
txt
vob
wallet
wav
wb2
wmv
wpd
wps
x11
x3f
xis
xla
xlam
xlk
xlm
xlr
xls
xlsb
xlsm
xlsx
xlt
xltm
xltx
xlw
ycbcra
3dm
3ds
3fr
3g2
3gp
3pr
7z
ab4
accdb
accde
accdr
accdt
ach
acr
act
adb
ads
agdl
ai
ait
al
apj
arw
asf
asm
asp
asx
avi
awg
back
backup
backupdb
bak
bank
bay
bdb
bgt
bik
bkp
blend
bpw
c
cdf
cdr
cdr3
cdr4
cdr5
cdr6
cdrw
cdx
ce1
yuv
zip

マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成したマルウェア）を削除します。

対応方法

対応検索エンジン: 9.80

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 3

Windowsをセーフモードで再起動します。

[ 詳細 ]

セーフモードでの起動：

• Windows 2000 の場合：

コンピュータを起動させます。
「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
「Windows 拡張オプションメニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows XP の場合：

コンピュータを起動させます。
「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
「Windows 拡張オプションメニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows Server 2003 の場合：

コンピュータを起動させます。
「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
「Windows 拡張オプションメニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows Vista、Windows 7 および Windows Server 2008 の場合：

コンピュータを起動させます。
「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
「詳細ブートオプション」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows 8、8.1 および Server 2012の場合：

画面の右上隅へマウスポインタを移動し、[チャーム]バーを表示します。
マウスで、[設定]－[PC設定の変更]を選択します。
左側のパネルで、[全般]を選択します。
右側のパネルで、[PCの起動をカスタマイズする]が表示されるまで下にスクロールし、[今すぐ再起動]をクリック。コンピュータが再起動するまで待ちます。
[オプションの選択]メニューで、[トラブルシューティング]－[詳細オプション]－[スタートアップ設定]－[再起動]をクリックします。
[スタートアップ設定]メニューで、[4]キーを押し、「4）セーフモードを有効にする」を選択します。

手順 4

このレジストリ値を削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- {random 7 characters} = "%System Root%\{random 8 characters}\{random 8 characters}.exe"
In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- {random 8 characters} = "%Application Data%\{random 8 characters}.exe"
In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce
- *{random 6 characters} = "%System Root%\{random 8 characters}\{random 8 characters}.exe" (for Windows Vista and above only)
In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce
- *{random 7 characters} = "%Application Data%\{random 8 characters}.exe" (for Windows Vista and above only)

手順 5

このレジストリキーを削除します。

[ 詳細 ]

In HKEY_CURRENT_USER\Software
- {UID}

手順 6

変更されたレジストリ値を修正します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
事前に意図的に対象の設定を変更していた場合は、意図するオリジナルの設定に戻してください。変更する値が分からない場合は、システム管理者にお尋ねいただき、レジストリの編集はお客様の責任として行なって頂くようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRestore
- From: DisableSR = "1"
  To: DisableSR = 0
In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ERSvc
- From: Start = "4"
  To: Start = 2
In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc
- From: Start = "4"
  To: Start = 2
In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\BITS
- From: Start = "4"
  To: Start = 2
In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wuauserv
- From: Start = "4"
  To: Start = 2

このマルウェアが変更したレジストリ値の修正：

「レジストリエディタ」を起動します。
- Windows 2000、XP および Server 2003 の場合：
  [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、Enter を押します。
- Windows Vista、7 および Server 2008 の場合：
  [スタート]をクリックし、検索入力欄に regedit と入力し、Enter を押します。
- Windows 8、8.1 および Server 2012 の場合：
  画面の左下隅を右クリックし、[ファイル名を指定して実行]を選択します。入力ボックスに regedit と入力し、Enter を押します。
※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>SystemRestore
右側のパネルで以下のレジストリ値を検索します。
DisableSR = "1"
[値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
DisableSR = 0
レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>Services>ERSvc
右側のパネルで以下のレジストリ値を検索します。
Start = "4"
[値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
Start = 2
レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>Services>wscsvc
右側のパネルで以下のレジストリ値を検索します。
Start = "4"
[値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
Start = 2
レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>Services>BITS
右側のパネルで以下のレジストリ値を検索します。
Start = "4"
[値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
Start = 2
レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>Services>wuauserv
右側のパネルで以下のレジストリ値を検索します。
Start = "4"
[値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
Start = 2
レジストリエディタを閉じます。

手順 7

以下のファイルを検索し削除します。

[ 詳細 ]

コンポーネントファイルが隠しファイル属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。

HELP_DECRYPT.HTML
HELP_DECRYPT.PNG
HELP_DECRYPT.TXT
HELP_DECRYPT.URL

手順 8

コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「Ransom_CRYPWALL.TZ」と検出したファイルの検索を実行してください。検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

手順 9

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「Ransom_CRYPWALL.TZ」と検出したファイルはすべて削除してください。検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

ご利用はいかがでしたか？　アンケートにご協力ください