Trend Micro Security

TROJ_CRYPFORT.A

2015年5月26日
 解析者: David John Agni   
 別名:

Ransom:Win32/Fortrypt.A (Microsoft), Trojan.CryptoFortress (Malwarebytes)

 プラットフォーム:

Windows

 危険度:
 ダメージ度:
 感染力:
 感染確認数:
 情報漏えい:


  • マルウェアタイプ: トロイの木馬型
  • 破壊活動の有無: なし
  • 暗号化: なし
  • 感染報告の有無: はい

  概要

感染経路 インターネットからのダウンロード, 他のマルウェアからの作成

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

  詳細

ファイルサイズ 250,368 bytes
タイプ EXE
メモリ常駐 はい
発見日 2015年3月6日
ペイロード メッセージボックスの表示

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

  • Catawba!

その他

マルウェアは、以下の拡張子をもつファイルを暗号化します。

  • *.0??
  • *.1cd
  • *.3fr
  • *.3gp
  • *.7z
  • *.?ar
  • *.abk
  • *.accdb
  • *.adf
  • *.ai
  • *.arc
  • *.arj
  • *.arw
  • *.ashbak
  • *.ashdisk
  • *.avi
  • *.ba?
  • *.backup
  • *.bk?
  • *.bmp
  • *.bup
  • *.cdr
  • *.cdx
  • *.cer
  • *.cf
  • *.cfu
  • *.cr?
  • *.cs?
  • *.da?
  • *.dbf
  • *.dcr
  • *.der
  • *.dic
  • *.divx
  • *.djvu
  • *.dng
  • *.doc
  • *.doc?
  • *.dt
  • *.dwg
  • *.dx?
  • *.e?f
  • *.efd
  • *.eps
  • *.er?
  • *.fbw
  • *.fh
  • *.flv
  • *.frp
  • *.gh?
  • *.gif
  • *.gzip
  • *.hbi
  • *.hdb
  • *.htm
  • *.html
  • *.ifo
  • *.img
  • *.indd
  • *.iso
  • *.iv2i
  • *.jpeg
  • *.jpg
  • *.kdc
  • *.key
  • *.kwm
  • *.ld?
  • *.m2v
  • *.max
  • *.md
  • *.md?
  • *.mef
  • *.mkv
  • *.mov
  • *.mp4
  • *.mpeg
  • *.mpg
  • *.mrw
  • *.nba
  • *.ndf
  • *.nef
  • *.nr?
  • *.od?
  • *.ol?
  • *.one
  • *.orf
  • *.p12
  • *.p7?
  • *.pb?
  • *.pd?
  • *.pef
  • *.pem
  • *.pfx
  • *.png
  • *.pps
  • *.pps?
  • *.ppt
  • *.ppt?
  • *.psd
  • *.pst
  • *.ptx
  • *.pwm
  • *.qbw
  • *.r??
  • *.sco
  • *.sef
  • *.sk
  • *.sr2
  • *.srf
  • *.srw
  • *.tbk
  • *.tc
  • *.tib
  • *.tif
  • *.tmd
  • *.txt
  • *.v?
  • *.v??
  • *.v???
  • *.wb2
  • *.wbb
  • *.wim
  • *.wmv
  • *.wpd
  • *.wps
  • *.x3f
  • *.xl?
  • *.xls?
  • *.xml
  • *.z?
  • *.z??
  • *.z???

マルウェアは、マルウェアが暗号化するすべてのフォルダへファイル"READ IF YOU WANT YOUR FILES BACK.html"を作成します。

マルウェアは、以下のコマンドを実行しシャドウコピーを削除します。

  • vssadmin delete shadows /all /quiet
  • del /f /q %0

上述のHTMLファイルは、ユーザのファイルに何が発生したかの説明およびファイルを取り戻す手順を含んでいます。

ファイルの復活に必要な金銭の初期値は、1.43 BTC（ビットコイン）から500米ドルで、数日後にはその値段が2倍となります。

また、マルウェアは、2つのファイルの無料での復号を提案し、ファイルが復活可能であるとユーザに納得させます。

  対応方法

対応検索エンジン: 9.750
初回 VSAPI パターンバージョン 11.522.03
初回 VSAPI パターンリリース日 2015年3月5日
VSAPI OPR パターンバージョン 11.523.00
VSAPI OPR パターンリリース日 2015年3月6日

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 3

「TROJ_CRYPFORT.A」で検出したファイル名を確認し、そのファイルを終了します。

[ 詳細 ]

  • すべての実行中プロセスが、Windows のタスクマネージャに表示されない場合があります。この場合、"Process Explorer" などのツールを使用しマルウェアのファイルを終了してください。"Process Explorer" については、こちらをご参照下さい。
  • 検出ファイルが、Windows のタスクマネージャまたは "Process Explorer" に表示されるものの、削除できない場合があります。この場合、コンピュータをセーフモードで再起動してください。
    セーフモードについては、こちらをご参照下さい。
  • 検出ファイルがタスクマネージャ上で表示されない場合、次の手順にお進みください。

手順 4

以下のファイルを検索し削除します。

[ 詳細 ]
コンポーネントファイルが隠しファイル属性の場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。  
  • READ IF YOU WANT YOUR FILES BACK.html

手順 5

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「TROJ_CRYPFORT.A」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。


ご利用はいかがでしたか？　アンケートにご協力ください