Ransom_WARRIOR.THHOGAH
HEUR:Trojan-Ransom.Win32.Agent.gen (Kaspersky), Ransom:Win32/Genasom (Microsoft)
Windows
- マルウェアタイプ: 身代金要求型不正プログラム（ランサムウェア）
- 破壊活動の有無: なし
- 暗号化: なし
- 感染報告の有無: はい
概要
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
詳細
侵入方法
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
インストール
マルウェアは、以下のファイルを作成します。
- %System Root%\RansomWarrior 1.0\KeyCrypt.THBEC ← File to input the bought decryption key
- %System Root%\RansomWarrior 1.0\Happened.THBEC
- %System Root%\RansomWarrior 1.0\FreeFileNamesCrypted.THBEC ← List of decrypted files for free
- %System Root%\RansomWarrior 1.0\Number_Of_Encrypted_Files.THBEC ← List of the number of encrypted files
- %System Root%\RansomWarrior 1.0\Date_Happened.THBEC ← Date when the encryption started
- %System Root%\RansomWarrior 1.0\TEX.THBEC
- %System Root%\RansomWarrior 1.0\DEX.THBEC
(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)
マルウェアは、以下のフォルダを作成します。
- %System Root%\RansomWarrior 1.0
(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)
その他
マルウェアは、以下の拡張子をもつファイルを暗号化します。
- .ACP
- .ACT
- .AFM
- .AI
- .ALL
- .ANS
- .ASC
- .ASM
- .ASP
- .AVI
- .BAK
- .BAS
- .BAT
- .BFC
- .BMP
- .BTM
- .CLASS
- .CLP
- .CMD
- .CMP
- .COM
- .CPP
- .CVS
- .DAT
- .DBF
- .DIF
- .DOC
- .DOCX
- .EPS
- .EXE
- .FM3
- .GAL
- .GIF
- .H
- .HPP
- .HQX
- .HTM
- .HTML
- .ICO
- .JAVA
- .JPG
- .JPEG
- .LBM
- .LIB
- .MAC
- .MAP
- .MDB
- .MID
- .MIDI
- .MMF
- .MMM
- .MOV
- .MSG
- .MSP
- .MUS
- .OBJ
- .PNG
- .PPT
- .PPTX
- .PSD
- .PSP
- .QLB
- .QT
- .QTM
- .RA
- .RTF
- .SAV
- .SCR
- .SIT
- .TAR
- .TIF
- .TXT
- .VBP
- .XLS
- .XLSX
- .ZIP
ランサムウェアの不正活動
マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。
- All Users
- Microsoft
- Windows
- Package Cache
- AppData
- Chrome
- User Data
- Internet Explorer
- Java
- RansomWarrior 1.0
マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。
- $Recycle.Bin
- Documents and Settings
- DRIVERS
- Intel
- PerfLogs
- Program Files
- Program Files (x86)
- ProgramData
- Programmer
- Recovery
- System Volume Information
- Windows
- 39ce3cc9a4c9635fb5a3
- a0d8335d1416763a86
- Tor Browser
マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。
- .THBEC
対応方法
手順 1
Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 2
このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。
手順 3
「Ransom_WARRIOR.THHOGAH」で検出したファイル名を確認し、そのファイルを終了します。
- すべての実行中プロセスが、Windows のタスクマネージャに表示されない場合があります。この場合、"Process Explorer" などのツールを使用しマルウェアのファイルを終了してください。"Process Explorer" については、こちらをご参照下さい。
- 検出ファイルが、Windows のタスクマネージャまたは "Process Explorer" に表示されるものの、削除できない場合があります。この場合、コンピュータをセーフモードで再起動してください。
セーフモードについては、こちらをご参照下さい。 - 検出ファイルがタスクマネージャ上で表示されない場合、次の手順にお進みください。
手順 4
以下のファイルを検索し削除します。
- %System Root%\RansomWarrior 1.0\KeyCrypt.THBEC ← File to input the bought decryption key
- %System Root%\RansomWarrior 1.0\Happened.THBEC
- %System Root%\RansomWarrior 1.0\FreeFileNamesCrypted.THBEC ← List of decrypted files for free
- %System Root%\RansomWarrior 1.0\Number_Of_Encrypted_Files.THBEC ← List of the number of encrypted files
- %System Root%\RansomWarrior 1.0\Date_Happened.THBEC ← Date when the encryption started
- %System Root%\RansomWarrior 1.0\TEX.THBEC
- %System Root%\RansomWarrior 1.0\DEX.THBEC
手順 5
以下のフォルダを検索し削除します。
- %System Root%\RansomWarrior 1.0
手順 6
最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「Ransom_WARRIOR.THHOGAH」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
ご利用はいかがでしたか？ アンケートにご協力ください