RANSOM_MAKTUB

2016年3月22日

別名:

Win32/Filecoder.NGB (ESET), Trojan.Cryptolocker.N (Symantec)

プラットフォーム:

Windows

危険度:

ダメージ度:

感染力:

感染確認数:

情報漏えい:

マルウェアタイプ: トロイの木馬型
破壊活動の有無: なし
暗号化: はい
感染報告の有無: はい

概要

感染経路インターネットからのダウンロード

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

この新しい身代金要求型不正プログラム（ランサムウェア）は、脅迫状に独自のグラフィックデザインを利用することで知られています。他のランサムウェアと同様、Eメールを介して侵入し、ファイルを暗号化します。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

詳細

ファイルサイズ不定

タイプ EXE

メモリ常駐はい

発見日 2016年3月21日

ペイロードファイルの変更, ファイルの暗号化

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

%User Temp%\{random filename}.cab - archive containing the RTF document
%User Temp%\{malware filename}.rtf - non-malicious document
{folders containing encrypted files}\_DECRYPT_INFO_{extension name}.html - ransom note
%User Temp%\{extension name}.gif - Maktub Locker logo

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

他のシステム変更

マルウェアは、以下のファイルを改変します。

It encrypts files and appends a random extension to the encrypted files

その他

マルウェアは、以下の拡張子をもつファイルを暗号化します。

apk
arch00
arw
asset
avi
bar
bay
bc6
bc7
big
bik
bkf
bkp
blf
blob
bsa
bup
cab
cas
cat
cdf-ms
cdr
cer
cfr
chm
com
cpl
cr2
crt
crw
css
csv
cur
d3dbsp
das
dat
dayzprofile
dazip
db0
dba
dbf
dbfv
dcr
der
desc
dll
dmp
dng
doc
docm
docx
dot
dotx
drv
dwg
dxf
dxg
epk
eps
erf
esm
exe
exif
ff
flv
fon
forge
fos
fpk
fsh
gdb
gho
gif
gpd
hkdb
hkx
hlp
hplg
htm
html
hvpl
ibank
ico
icxs
idl
ifo
indd
inf
inf_loc
ini
itdb
itl
itm
iwd
iwi
jfif
jpe
jpeg
jpg
js
kdb
kdc
kf
layout
lbf
lck
lib
litemod
lnk
log
log1
log2
lrf
ltx
lvl
m2
m3u
m4a
man
manifest
map
mcgame
mcmeta
mdb
mdbackup
mddata
mdf
mef
menu
mht
mlwivc
mlx
mof
mov
mp4
mpg
mpp
mpqge
mrw
mrwref
msg
msi
msp
mui
mum
ncf
nef
nlp
nls
nrw
ntl
ocx
odb
odc
odm
odp
ods
odt
orf
p12
p7b
p7c
pak
pdb
pdd
pdf
pef
pem
pfx
pgp
pkpass
pnf
png
ppd
ppsx
ppt
pptm
pptx
psd
psk
pst
ptx
py
qdf
qic
r3d
raf
raw
rb
rdp
re4
regtrans-ms
resx
rgss3a
rim
rofl
rtf
rw2
rwl
sav
sb
sc2save
scr
shs
sid
sidd
sidn
sie
sis
slm
snx
so
sql
sr2
srf
srw
sum
svg
swf
syncdb
sys
t12
t13
tax
tc
thm
thmx
tif
tor
ttf
txt
unity3d
upk
vcf
vdf
vfs0
vob
vpk
vpp_pc
vsd
vtf
w3x
wallet
wav
wb2
wma
wmf
wmo
wmv
wotreplay
wpd
wps
x3f
xdr
xf
xlk
xls
xlsb
xlsm
xlsx
xml
xrm-ms
xsd
xxx
ztmp

<補足>
インストール

マルウェアは、以下のファイルを作成します。

%User Temp%\{ランダムなファイル名}.cab - RTF 文書を含んだアーカイブ
%User Temp%\{マルウェアのファイル名}.rtf - 無害な文書ファイル
{暗号化されたファイルを含むフォルダ}\_DECRYPT_INFO_{拡張子名}.html - 脅迫状
%User Temp%\{拡張子名}.gif - 「Maktub Locker」のロゴ

マルウェアは、ファイルを暗号化し、ランダムな拡張子を暗号化したファイルに追加します。

注意：

マルウェアは、ファイルを暗号化した後、以下のウィンドウを表示します。

対応方法

対応検索エンジン: 9.800

初回 VSAPI パターンバージョン 12.416.07

初回 VSAPI パターンリリース日 2016年3月21日

VSAPI OPR パターンバージョン 12.417.00

VSAPI OPR パターンリリース日 2016年3月22日

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 3

「RANSOM_MAKTUB」で検出したファイル名を確認し、そのファイルを終了します。

[ 詳細 ]

すべての実行中プロセスが、Windows のタスクマネージャに表示されない場合があります。この場合、"Process Explorer" などのツールを使用しマルウェアのファイルを終了してください。"Process Explorer" については、こちらをご参照下さい。
検出ファイルが、Windows のタスクマネージャまたは "Process Explorer" に表示されるものの、削除できない場合があります。この場合、コンピュータをセーフモードで再起動してください。
セーフモードについては、こちらをご参照下さい。
検出ファイルがタスクマネージャ上で表示されない場合、次の手順にお進みください。

手順 4

以下のファイルを検索し削除します。

[ 詳細 ]

コンポーネントファイルが隠しファイル属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。

%User Temp%\{random filename}.cab
%User Temp%\{malware filename}.rtf
%User Temp%\{extension name}.gif
{folders containing encrypted files}\_DECRYPT_INFO_{extension name}.html

手順 5

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「RANSOM_MAKTUB」と検出したファイルはすべて削除してください。検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

ご利用はいかがでしたか？　アンケートにご協力ください