• Email
• Facebook
• Twitter
• Google+
• Linkedin

Ransom_TQV.THHBCAH

---

• マルウェアタイプ: 身代金要求型不正プログラム（ランサムウェア）
• 破壊活動の有無: なし
• 暗号化: はい
• 感染報告の有無: はい

---

  概要

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。 マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

マルウェアは、実行後、自身を削除します。

---

  詳細

侵入方法

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、ファイルをダウンロードします。

• hxxp://download.{BLOCKED}quocvi.com/TQVDecrypt.exe

  マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

  • TQVDecrypt.exe

  ただし、情報公開日現在、このWebサイトにはアクセスできません。

  情報収集

  マルウェアは、SMTPを用いて、自身が収集した情報を以下のEメールアドレスに送信します。

  • gavaivt@{BLOCKED}l.com

  その他

  マルウェアは、実行後、自身を削除します。

  ランサムウェアの不正活動

  マルウェアは、以下の文字列を含むファイルを暗号化します。

  • .txt
  • .doc
  • .docx
  • .xls
  • .xlsx
  • .ppt
  • .pptx
  • .pdf
  • .rar
  • .zip
  • .mp3
  • .mp4
  • .wmv
  • .bmp
  • .png
  • .jpg

  マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

  • .TQV

  マルウェアが作成する以下のファイルは、脅迫状です。

  • {Encrypted Folder}/@@README.TXT
    • 

  ---

    対応方法

  対応検索エンジン: 9.850

  初回 VSAPI パターンバージョン 14.460.02

  初回 VSAPI パターンリリース日 2018年8月23日

  VSAPI OPR パターンバージョン 14.461.00

  VSAPI OPR パターンリリース日 2018年8月24日

  手順 1

  Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

  手順 2

  このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

  手順 3

  「Ransom_TQV.THHBCAH」で検出したファイル名を確認し、そのファイルを終了します。

  [ 詳細 ]

  [ 戻る ]

  
  

  • すべての実行中プロセスが、Windows のタスクマネージャに表示されない場合があります。この場合、"Process Explorer" などのツールを使用しマルウェアのファイルを終了してください。"Process Explorer" については、こちらをご参照下さい。
  • 検出ファイルが、Windows のタスクマネージャまたは "Process Explorer" に表示されるものの、削除できない場合があります。この場合、コンピュータをセーフモードで再起動してください。
    セーフモードについては、こちらをご参照下さい。
  • 検出ファイルがタスクマネージャ上で表示されない場合、次の手順にお進みください。

  マルウェアのプロセス終了：

  1. 最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用いてウイルス検索を実行し、検出したマルウェアのファイル名を確認し、メモ等をとってください。
  2. タスクマネージャを起動します。
     • Windows 2000、XP、Server 2003 、Vista、7 および Server 2008の場合、CTRL+SHIFT+ESCを押し、[プロセス]タブをクリックします。
     • Windows 8、8.1および Server 2012の場合、 [詳細]タブをクリックします。
  3. 実行中のプログラムのリストから、上記で検出したマルウェアのファイルを選択します。
  4. 使用しているWindowsのバージョンに応じて、[タスクの終了]、または、[プロセスの終了]をクリックします。
  5. 同様の手順で、上記で確認したマルウェアのファイルをすべて終了してください。
  6. マルウェアのプロセスが終了されているかを確認するには、タスクマネージャを閉じ、再度開いてください。
  7. タスクマネージャを閉じてください。

  手順 4

  以下のファイルを検索し削除します。

  [ 詳細 ]

  [ 戻る ]

  コンポーネントファイルが隠しファイル属性の場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。

  • {Encrypted Folder}\@@README.TXT
  • {Desktop Folder}\TQVDecrypt.exe

  マルウェアのコンポーネントファイルの削除：

• Windows 2000、XP および Server 2003 の場合：
  1. [スタート]-[検索]-[ファイルとフォルダすべて]を選択します。
  2. [ファイル名のすべてまたは一部]に以下のファイル名を入力してください。
     
     • {Encrypted Folder}\@@README.TXT
     • {Desktop Folder}\TQVDecrypt.exe
  3. [探す場所]の一覧から[マイコンピュータ]を選択し、[検索]を押します。
  4. 検索が終了したら、ファイルを選択し、SHIFT+DELETE を押します。これにより、ファイルが完全に削除されます。
  5. 残りのファイルに対して、マルウェアのコンポーネントファイルの削除の手順 2.）から4 .）を繰り返してください。

• Windows Vista、7、Server 2008、8、8.1 および Server 2012 の場合：
  1. Windowsエクスプローラ画面を開きます。
     • Windows Vista、7 および Server 2008 の場合：
       • [スタート]-[コンピューター]を選択します。
     • Windows 8、8.1 および Server 2012 の場合：
       • 画面の左下隅を右クリックし、[エクスプローラー]を選択します。
  2. [コンピューターの検索]に、以下を入力します。
     
     • {Encrypted Folder}\@@README.TXT
     • {Desktop Folder}\TQVDecrypt.exe
  3. ファイルが表示されたら、そのファイルを選択し、SHIFT+DELETE を押します。これにより、ファイルが完全に削除されます。
  4. 残りのファイルに対して、マルウェアのコンポーネントファイルの削除の手順 2.）から4 .）を繰り返してください。
     註：Windows 7 において上記の手順が正しく行われない場合、マイクロソフトのWebサイトをご確認ください。