![Trend Micro Security](https://www.trendmicro.com/content/dam/trendmicro/global/en/global/logo/logo-desktop.png)
RANSOM_HDDCRYPTOR.AUSE
Windows
![](/vinfo/imgFiles/JPlegend.jpg)
- マルウェアタイプ: 身代金要求型不正プログラム(ランサムウェア)
- 破壊活動の有無: なし
- 暗号化: なし
- 感染報告の有無: はい
概要
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
詳細
侵入方法
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
インストール
マルウェアは、以下のファイルを作成します。
- %System Root%\xampp\dcapi.dll
- %System Root%\xampp\dccon.exe - DiskCryptor Console
- %System Root%\xampp\dcinst.exe
- %System Root%\xampp\dcrypt.sys
- %System Root%\xampp\log.txt
- %System%\drivers\dcrypt.sys
(註:%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)
自動実行方法
マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\dcrypt
ImagePath = %System%\drivers\dcrypt.sys
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\DefragmentService
ImagePath = {Malware Path and Filename}.exe {password} /accepteula
マルウェアは、以下のサービスを追加し、実行します。
- DefragmentService
- DiskCryptor driver
他のシステム変更
マルウェアは、以下のレジストリキーを追加します。
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\dcrypt
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\dcrypt\config
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\dcrypt\Instances
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\dcrypt\Security
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\dcrypt\Enum
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\DefragmentService
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\DefragmentService\Security
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\DefragmentService\Enum
マルウェアは、インストールの過程で、以下のレジストリ値を追加します。
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\dcrypt
Type = 00000001
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\dcrypt
Start = 00000000
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\dcrypt
ErrorControl = 00000003
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\dcrypt
DisplayName = DiskCryptor driver
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\dcrypt
Group = Filter
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\dcrypt
DependOnService = {hex values}
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\dcrypt
DependOnGroup = {hex values}
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\dcrypt\config
Flags = {hex values}
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\dcrypt\config
Hotkeys = {hex values}
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\dcrypt\config
sysBuild = {hex values}
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\dcrypt\Instances
DefaultInstance = dcrypt
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\dcrypt\Instances\
dcrypt
Altitude = {hex values}
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\dcrypt\Instances\
dcrypt
Flags = {hex values}
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\dcrypt\Security
Security = {hex values}
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\dcrypt\Enum
0 = {string values}
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\dcrypt\Enum
Count = {hex values}
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\dcrypt\Enum
NextInstance = {hex values}
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\DefragmentService
Type = 00000010
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\DefragmentService
Start = 00000002
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\DefragmentService
ErrorControl = 00000000
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\DefragmentService
DisplayName = DefragmentService
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\DefragmentService
ObjectName = LocalSystem
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\DefragmentService
FailureActions = {hex values}
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\DefragmentService\Security
Security = {hex values}
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\DefragmentService\Enum
0 = {string values}
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\DefragmentService\Enum
Count = 00000001
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\DefragmentService\Enum
NextInstance = 00000001
対応方法
手順 1
Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 2
Master Boot Record(MBR)を修復します。
Master Boot Record(MBR)の修復:
• Windows 2000、XP および Server 2003 の場合:
- 最新のバージョン(エンジン、パターンファイル)を導入したセキュリティ対策製品を用いてウイルス検索を実行してください。検出したパス名およびファイル名を確認し、メモ等をとってください。
- Windows のインストール CD を使用して、コンピュータを再起動します。
- [セットアップへようこそ] 画面で、修復の R キーを押します。
(註: Windows 2000 の場合、R キーを入力後 C キーを入力し、[修復オプション]から[回復コンソール]を選択します。) - 修復する Windows がインストールされているドライブを選択します(通常は "1" を選択します)。.
- 管理者のパスワードを入力し、Enter を押します。管理者パスワードがない場合は、何も入力せずに Enter を押します。
- コマンドプロンプトに、上記で確認したマルウェアが検出されたドライブ名を入力します。
- 以下のコマンドを入力し、Enter を押します。
fixmbr <感染したドライブ>
※"fixmbr" と "<感染したドライブ>" の間に半角スペースを入れてください。
※"<感染したドライブ>" とは、このマルウェアが感染したブータブル・ドライブのことです。ドライブが特定できない場合、プライマリ・ブート・ドライブにあるマスター・ブート・レコードが上書きされている可能性があります。 - コマンドプロンプトに exit と入力し、コンピュータを通常どおり再起動してください。
• Windows Vista および 7、Windows Server 2008の場合:
- 最新のバージョン(エンジン、パターンファイル)を導入したセキュリティ対策製品を用いてウイルス検索を実行し、検出したマルウェアのパス名およびファイル名を確認し、メモ等をとってください。
- Windows のインストール DVD を使用して、コンピュータを再起動します。
- 再起動するかどうかの確認画面が表示されたら、いずれかのキーを入力し、表示される指示に従います。
- Windows のインストール DVD によっては、インストールする言語の選択が必要になる場合があります。 Windows のインストール画面で、言語、ロケール情報およびキーボードの種類と入力方法を選択します。[コンピュータを修復する]をクリックします。
- [Windows の起動に伴う問題の修復用の回復ツールを使用します。]を選択します。オペレーティングシステム(OS)を選択し、[次へ]をクリックします。
- [スタートアップ修復]画面が表示された場合、[キャンセル]-[はい]-[完了]をクリックします。
- [システム回復オプション]メニューで、[コマンドプロンプト]をクリックします。
- 以下のコマンドを入力し、Enter を押します。
BootRec.exe /fixmbr - コマンドプロンプトに exit と入力し、Enter を押して、コマンドプロンプト画面を閉じてください。
- [再起動]をクリックし、コンピュータを通常どおり再起動してください。
• Windows 8、8.1、Server 2012 の場合:
- Windows のインストールDVDを使用して、コンピュータを再起動します。
- インストールDVDによっては、インストール言語の選択が必要な場合があります。その場合、Windowsのインストールウィンドウで、言語、ロケール、キーボードレイアウトや入力方法を選択します。[次へ]-[コンピューターの修復]をクリックします。
- [トラブルシューティング]-[詳細オプション]-[コマンドプロンプト]を選択。
- [コマンドプロンプト]ウィンドウで、以下を入力し、Enterを押します。
BootRec.exe /fixmbr - 上記で検出されたすべてのファイルについてこの手順を繰り返します。
- exitを入力し、Enterを押し、コマンドプロンプト画面を閉じます。
- [再起動]をクリックし、コンピュータを通常起動します。
手順 3
このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム(OS)の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル/フォルダ/レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。
手順 4
Windowsをセーフモードで再起動します。
手順 5
このマルウェアのサービスを無効にします。
-
- DiskCryptor driver
- DefragmentService
手順 6
このレジストリキーを削除します。
警告:レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。
- In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services
- dcrypt
- dcrypt
- In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services
- DefragmentService
- DefragmentService
手順 7
以下のファイルを検索し削除します。
- %System Root%\xampp\dcapi.dll
- %System Root%\xampp\dccon.exe
- %System Root%\xampp\dcinst.exe
- %System Root%\xampp\dcrypt.sys
- %System Root%\xampp\log.txt
- %System%\drivers\dcrypt.sys
手順 8
コンピュータを通常モードで再起動し、最新のバージョン(エンジン、パターンファイル)を導入したウイルス対策製品を用い、「RANSOM_HDDCRYPTOR.AUSE」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
ご利用はいかがでしたか? アンケートにご協力ください