Trend Micro Security

RANSOM_ZIPPY.A

2016年4月22日
 解析者: Rhena Inocencio   
 別名:

JS/TrojanDownloader.Nemucod.RS trojan (ESET), JS/Nemucod.hn (McAfee)

 プラットフォーム:

Windows

 危険度:
 ダメージ度:
 感染力:
 感染確認数:
 情報漏えい:


  • マルウェアタイプ: トロイの木馬型
  • 破壊活動の有無: なし
  • 暗号化: はい
  • 感染報告の有無: はい

  概要

感染経路 インターネットからのダウンロード, Eメールを介したスパム活動

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。 マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスします。これにより、不正リモートユーザにマルウェアのインストールが知らされます。また、不正なファイルがダウンロードされます。この結果、感染コンピュータは、さらなる他の脅威にさらされることとなります。 マルウェアは、ダウンロードしたファイルを実行します。

  詳細

ファイルサイズ 不定
タイプ JS
メモリ常駐 なし
発見日 2016年4月18日
ペイロード URLまたはIPアドレスに接続

侵入方法

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Crypted = "%User Temp%\a.txt"

HKEY_CLASSES_ROOT\.crypted
(Default) = "Crypted"

HKEY_CURRENT_USER\Crypted\shell\
open\command
(Default) = "notepad.exe %User Temp%\a.txt"

作成活動

マルウェアは、以下のファイルを作成します。

  • %Desktop%\DECRYPT.txt - ransom note
  • %User Temp%\a.txt - ransom note

(註：%Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

ダウンロード活動

マルウェアは、以下の不正Webサイトにアクセスします。

  • http://{BLOCKED}l.com/counter/?ad={ad}&ky={ZIP password}&id={id}&rnd={random}
  • http://{BLOCKED}allymla.com/counter/?ad={ad}&ky={ZIP password}&id={id}&rnd={random}
  • http://{BLOCKED}feel.com/counter/?ad={ad}&ky={ZIP password}&id={id}&rnd={random}
  • http://{BLOCKED}ng.com/counter/?ad={ad}&ky={ZIP password}&id={id}&rnd={random}
  • http://{BLOCKED}tang.com/counter/?ad={ad}&ky={ZIP password}&id={id}&rnd={random}

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

  • %User Temp%\a0.exe - legitimate application to ZIP files
  • %User Temp%\a{number}.exe

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

マルウェアは、ダウンロードしたファイルを実行します。

その他

マルウェアは、以下の拡張子をもつファイルを暗号化します。

  • *.zip
  • *.rar
  • *.7z
  • *.tar
  • *.gz
  • *.xls
  • *.xlsx
  • *.doc
  • *.docx
  • *.pdf
  • *.rtf
  • *.ppt
  • *.pptx
  • *.sxi
  • *.odm
  • *.odt
  • *.mpp
  • *.ssh
  • *.pub
  • *.gpg
  • *.pgp
  • *.kdb
  • *.kdbx
  • *.als
  • *.aup
  • *.cpr
  • *.npr
  • *.cpp
  • *.bas
  • *.asm
  • *.cs
  • *.php
  • *.pas
  • *.vb
  • *.vcproj
  • *.vbproj
  • *.mdb
  • *.accdb
  • *.mdf
  • *.odb
  • *.wdb
  • *.csv
  • *.tsv
  • *.psd
  • *.eps
  • *.cdr
  • *.cpt
  • *.indd
  • *.dwg
  • *.max
  • *.skp
  • *.scad
  • *.cad
  • *.3ds
  • *.blend
  • *.lwo
  • *.lws
  • *.mb
  • *.slddrw
  • *.sldasm
  • *.sldprt
  • *.u3d
  • *.jpg
  • *.tiff
  • *.tif
  • *.raw
  • *.avi
  • *.mpg
  • *.mp4
  • *.m4v
  • *.mpeg
  • *.mpe
  • *.wmf
  • *.wmv
  • *.veg
  • *.vdi
  • *.vmdk
  • *.vhd
  • *.dsk

  対応方法

対応検索エンジン: 9.800
初回 VSAPI パターンバージョン 12.474.06
初回 VSAPI パターンリリース日 2016年4月18日
VSAPI OPR パターンバージョン 12.475.00
VSAPI OPR パターンリリース日 2016年4月19日

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 3

Windowsをセーフモードで再起動します。

[ 詳細 ]

手順 4

このレジストリ値を削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

 
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
    • Crypted = "%User Temp%\a.txt"
  • In HKEY_CLASSES_ROOT\.crypted
    • (Default) = "Crypted"
  • In HKEY_CURRENT_USER\Crypted\shell\open\command
    • (Default) = "notepad.exe %User Temp%\a.txt"

手順 5

以下のファイルを検索し削除します。

[ 詳細 ]
コンポーネントファイルが隠しファイル属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • %Desktop%\DECRYPT.txt
  • %User Temp%\a.txt
  • %User Temp%\a{number}.exe
  • %User Temp%\a0.exe

手順 6

コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「RANSOM_ZIPPY.A」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。


ご利用はいかがでしたか？　アンケートにご協力ください