• Email
• Facebook
• Twitter
• Google+
• Linkedin

RANSOM_EDA2ANUBIS.B

---

• マルウェアタイプ: 身代金要求型不正プログラム（ランサムウェア）
• 破壊活動の有無: なし
• 暗号化: なし
• 感染報告の有無: はい

---

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

---

  詳細

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Program Data%\storage

マルウェアは、以下のプロセスを追加します。

• vssadmin.exe Delete Shadows /All /Quiet

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Adobe Acrobat Optimizer x86 = ""{Malware Path}\{Malware File Name}" -autorun"

他のシステム変更

マルウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
EnableBalloonTips = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
EnableBalloonTips = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
TaskbarNoNotification = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
TaskbarNoNotification = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
DisableNotificationCenter = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
DisableNotificationCenter = "1"

HKEY_CURRENT_USER\Software\Policies\
Microsoft\Windows Defender
DisableAntiSpyware = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows Defender
DisableAntiSpyware = "1"

HKEY_CURRENT_USER\Software\Policies\
Microsoft\Windows Defender
DisableRoutinelyTakingAction = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows Defender
DisableRoutinelyTakingAction = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Windows Defender\Reporting
DisableEnhancedNotifications = "1"

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://staticpane.{BLOCKED}s.army/rec.php?msg={random}

ランサムウェアの不正活動

マルウェアは、以下のディレクトリ内で確認されたファイルを暗号化します。

• All Drives

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• __READ_ME__.txt
• System Volume Information
• $Recycle.Bin
• Boot
• Windows

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .[anubi@cock.li].anubi

マルウェアが作成する以下のファイルは、脅迫状です。

• {Folders containing encrypted files}\__READ_ME__.txt
• %User Startup%\__READ_ME__.txt -> runs the file after execution
• 

マルウェアは、以下の内容を含む脅迫状のテキストファイルを残します。

• [WHAT HAPPENED]
  Your important files produced on this computer have been encrypted due a security problem
  If you want to restore them, write us to the e-mail: anubi@{BLOCKED}k.li
  You have to pay for decryption in Bitcoins. The price depends on how fast you write to us.
  After payment we will send you the decryption tool that will decrypt all your files.
  
  [FREE DECRYPTION AS GUARANTEE]
  Before paying you can send to us up to 3 files for free decryption.
  Please note that files must NOT contain valuable information
  and their total size must be less than 1Mb
  
  [HOW TO OBTAIN BITCOINS]
  The easiest way to buy bitcoin is LocalBitcoins site.
  You have to register, click Buy bitcoins and select the seller
  by payment method and price
  
  https://localbitcoins.com/buy_bitcoins
  
  https://paxful.com/buy-bitcoin
  
  https://bitcointalk.org/
  
  [ATTENTION]
  Do not rename encrypted files
  Do not try to decrypt your data using third party software, it may cause permanent data loss
  If you not write on e-mail in 36 hours - your key has been deleted and you cant decrypt your files
  
  Your ID:
  
  {RANDOM}

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください