RANSOM_KRAKEN.RNB
Ransom:Win32/Genasom (Microsoft)
Windows
- マルウェアタイプ: 身代金要求型不正プログラム（ランサムウェア）
- 破壊活動の有無: なし
- 暗号化:
- 感染報告の有無: はい
概要
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
詳細
侵入方法
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
インストール
マルウェアは、以下のファイルを作成します。
- {Encrypted File Directory}\Touch ← Marker to check if the directory is already encrypted, deleted afterwards.
マルウェアは、以下のプロセスを追加します。
- "cmd.exe" /C sc config eventlog start=disabled
- "cmd.exe" /C REG add "HKLM\SYSTEM\CurrentControlSet\services\eventlog" / v Start / t REG_DWORD / d 4 / f
- "tasklist" /V /FO CSV
他のシステム変更
マルウェアは、以下のレジストリ値を追加します。
HKEY_CURRENT_USER\Console
WordLoad = 1
プロセスの終了
マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。
- agntsvcagntsvc
- agntsvcencsvc
- agntsvcisqlplussvc
- dbeng50
- dbsnmp
- firefoxconfig
- msftesql
- mydesktopqos
- mydesktopservice
- mysqld
- mysqld-nt
- mysqld-opt
- ocomm
- ocssd
- oracle
- sqbcoreservice
- sqlagent
- sqlbrowser
- sqlservr
- sqlwriter
- sqlwb
- synctime
- tbirdconfig
- xfssvccon
- notepad
その他
マルウェアは、以下の拡張子をもつファイルを暗号化します。
- 1cd
- 3dm
- 3ds
- 3fr
- 3g2
- 3gp
- 3pr
- 7z
- 7zip
- aac
- ab4
- abd
- accdb
- accde
- accdr
- accdt
- ach
- acr
- act
- adb
- adp
- ads
- agdl
- ai
- aiff
- ait
- al
- aoi
- apj
- arw
- ascx
- asf
- asm
- asp
- aspx
- asx
- atb
- avi
- awg
- back
- backup
- backupdb
- bak
- bank
- bay
- bdb
- bgt
- bik
- bin
- bkp
- blend
- bmp
- bpw
- c
- cdb
- cdf
- cdr
- cdr3
- cdr4
- cdr5
- cdr6
- cdrw
- cdx
- ce1
- ce2
- cer
- cfg
- cfn
- cgm
- cib
- class
- cls
- cmt
- config
- contact
- cpi
- cpp
- cr2
- craw
- crt
- crw
- cs
- csh
- csl
- css
- csv
- dac
- dat
- db
- db3
- dbf
- dbx
- db_journal
- dc2
- dcr
- dcs
- ddd
- ddoc
- ddrw
- dds
- def
- der
- des
- design
- dgc
- dit
- djvu
- dng
- doc
- docm
- docx
- dot
- dotm
- dotx
- drf
- drw
- dtd
- dwg
- dxb
- dxf
- dxg
- edb
- eml
- eps
- erbsql
- erf
- exf
- fdb
- ffd
- fff
- fh
- fhd
- fla
- flac
- flb
- flf
- flv
- flvv
- fpx
- fxg
- gif
- gray
- grey
- groups
- gry
- h
- hbk
- hdd
- hpp
- html
- ibank
- ibd
- ibz
- idx
- iif
- iiq
- incpas
- indd
- info
- info_
- ini
- jar
- java
- jnt
- jpe
- jpeg
- jpg
- js
- json
- kc2
- kdbx
- kdc
- key
- kpdx
- kwm
- laccdb
- lck
- ldf
- lit
- lock
- log
- lua
- m
- m2ts
- m3u
- m4p
- m4v
- mab
- mapimail
- max
- mbx
- md
- mdb
- mdc
- mdf
- mef
- mfw
- mid
- mkv
- mlb
- mmw
- mny
- moneywell
- mos
- mov
- mp3
- mp4
- mpeg
- mpg
- mrw
- msf
- msg
- myd
- nd
- ndd
- ndf
- nef
- nk2
- nop
- nrw
- ns2
- ns3
- ns4
- nsd
- nsf
- nsg
- nsh
- nvram
- nwb
- nx2
- nxl
- nyf
- oab
- obj
- odb
- odc
- odf
- odg
- odm
- odp
- ods
- odt
- ogg
- oil
- omg
- orf
- ost
- otg
- oth
- otp
- ots
- ott
- p7b
- p7c
- p12
- pab
- pages
- pas
- pat
- pbf
- pcd
- pct
- pdb
- pdd
- pef
- pem
- pfx
- php
- pif
- pl
- plc
- plus_muhd
- pm!
- pm
- pmi
- pmj
- pml
- pmm
- pmo
- pmr
- pnc
- pnd
- png
- pnx
- pot
- potm
- potx
- ppam
- pps
- ppsm
- ppsm
- ppsx
- ppt
- pptm
- pptm
- pptx
- prf
- ps
- psafe3
- psd
- pspimage
- pst
- ptx
- pwm
- py
- qba
- qbb
- qbm
- qbr
- qbw
- qbx
- qby
- qcow
- qcow2
- qed
- qtb
- r3d
- raf
- rar
- rat
- raw
- rdb
- rm
- rtf
- rvt
- rw2
- rwl
- rwz
- s3db
- safe
- sas7bdat
- sav
- save
- say
- sd0
- sda
- sdb
- sdf
- sh
- sldm
- sldx
- sql
- sqlite
- sqlite-shm
- sqlite-wal
- sqlite3
- sqlitedb
- sr2
- srb
- srf
- srs
- srt
- srw
- st4
- st5
- st6
- st7
- st8
- stc
- std
- sti
- stm
- stw
- stx
- svg
- swf
- sxc
- sxd
- sxg
- sxi
- sxm
- sxw
- tbb
- tbn
- tex
- tga
- thm
- tlg
- tlx
- txt
- usr
- vbox
- vdi
- vhd
- vhdx
- vmdk
- vmsd
- vmx
- vmxf
- vob
- wab
- wad
- wallet
- war
- wav
- wb2
- wma
- wmf
- wmv
- wpd
- wps
- x3f
- x11
- xis
- xla
- xlam
- xlk
- xlm
- xlr
- xls
- xlsb
- xlsm
- xlsx
- xlt
- xltm
- xltx
- xlw
- xml
- ycbcra
- yuv
- zip
ランサムウェアの不正活動
マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。
- bootsect.bak
- desktop.ini
- iconcache.db
- ntuser.dat
- thumbs.db
マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。
- $recycle.bin
- system volume information
- $windows.~bt
- boot
- drivers
- program files
- program files (x86)
- programdata
- all users
- windows
- windows.old
- appdata
- programdata
- sample videos
- sample pictures
- sample music
- my videos
- my pictures
- my music
- test folder
マルウェアは、以下の名称を利用して暗号化されたファイルのファイル名を改称します。
- {Encrypted File Number}-Lock.onion
マルウェアが作成する以下のファイルは、脅迫状です。
- {Encrypted Folder}\# How to Decrypt Files.txt
対応方法
手順 1
Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 2
このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。
手順 3
このレジストリ値を削除します。
警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。
- In HKEY_CURRENT_USER\Console
- WordLoad = 1
- WordLoad = 1
手順 4
以下のファイルを検索し削除します。
- {Encrypted Folder}\# How to Decrypt Files.txt
- {Encrypted File Directory}\Touch
手順 5
最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「RANSOM_KRAKEN.RNB」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
ご利用はいかがでしたか？ アンケートにご協力ください