TROJ_POSHCODER.A
Trojan-Ransom.Win32.Crypren.pug (Kaspersky)
Windows 2000, Windows Server 2003, Windows XP (32-bit, 64-bit), Windows Vista (32-bit, 64-bit), Windows 7 (32-bit, 64-bit)
- マルウェアタイプ: トロイの木馬型
- 破壊活動の有無: なし
- 暗号化: なし
- 感染報告の有無: はい
概要
トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。
この身代金要求型マルウェア（ランサムウェア）は、Windows PowerShellを利用し、ファイルを暗号化します。
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
詳細
侵入方法
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
インストール
マルウェアは、以下のフォルダを作成します。
- %User Temp%\Quest Software\PowerGUI\{GUID}
(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)
他のシステム変更
マルウェアは、以下のレジストリ値を追加します。
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{GUID} = ""
HKEY_CURRENT_USER\Software\Microsoft
{GUID}0 = ""
HKEY_CURRENT_USER\Software\Microsoft
{GUID}1 = ""
作成活動
マルウェアは、以下のファイルを作成します。
- %User Temp%\Quest Software\PowerGUI\{GUID}\crypter.ps1 - the PowerShell encryptor script component also detected as TROJ_POSHCODER.A
(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)
その他
マルウェアは、以下の拡張子をもつファイルを暗号化します。
- .1cd
- .3d
- .3d4
- .3df8
- .3g2
- .3gp
- .3gp2
- .3mm
- .7z
- .8ba
- .8bc
- .8be
- .8bf
- .8bi8
- .8bl
- .8bs
- .8bx
- .8by
- .8li
- .aac
- .abk
- .abw
- .ac3
- .accdb
- .ace
- .act
- .ade
- .adi
- .adpb
- .adr
- .adt
- .aim
- .aip
- .ais
- .amf
- .amr
- .amu
- .amx
- .amxx
- .ans
- .ap
- .ape
- .api
- .arc
- .ari
- .arj
- .aro
- .arr
- .asa
- .asc
- .ascx
- .ase
- .ashx
- .asmx
- .asp
- .asr
- .avi
- .avs
- .bdp
- .bdr
- .bi8
- .bib
- .bic
- .big
- .bik
- .bkf
- .blp
- .bmc
- .bmf
- .bml
- .bmp
- .boc
- .bp2
- .bp3
- .bpl
- .bsp
- .cag
- .cam
- .cap
- .car
- .cbr
- .cbz
- .cc
- .ccd
- .cch
- .cd
- .cdr
- .cer
- .cfg
- .cgf
- .chk
- .clr
- .cms
- .cod
- .col
- .cp
- .cpp
- .crd
- .crt
- .cs
- .csi
- .cso
- .css
- .ctt
- .cty
- .cwf
- .dal
- .dap
- .dbb
- .dbx
- .dcp
- .dcu
- .ddc
- .ddcx
- .dem
- .dev
- .dex
- .dic
- .dif
- .dii
- .dir
- .disk
- .divx
- .diz
- .djvu
- .dmg
- .dng
- .dob
- .doc
- .docm
- .docx
- .dot
- .dotm
- .dotx
- .dox
- .dpk
- .dpl
- .dpr
- .dsk
- .dsp
- .dvd
- .dvi
- .dvx
- .dwg
- .dxe
- .dxf
- .elf
- .eps
- .eql
- .err
- .euc
- .evo
- .ex
- .f90
- .faq
- .fcd
- .fdr
- .fds
- .ff
- .fla
- .flp
- .flv
- .for
- .fpp
- .gthr
- .gz
- .java
- .jc
- .jgz
- .jif
- .man
- .map
- .max
- .mbox
- .mbx
- .mcd
- .md0
- .md1
- .md2
- .md3
- .mdf
- .mdl
- .mdn
- .mds
- .mic
- .mip
- .mlx
- .mm6
- .mm7
- .mm8
- .mod
- .moz
- .mp1
- .mp3
- .mp4
- .mpa
- .msg
- .msp
- .mxp
- .nav
- .ncd
- .nds
- .nfo
- .now
- .nrg
- .nri
- .odc
- .odf
- .odi
- .odm
- .odp
- .ods
- .oft
- .oga
- .ogg
- .opf
- .owl
- .oxt
- .pab
- .pak
- .pbf
- .pbp
- .pbs
- .pcv
- .pdd
- .php
- .pkb
- .pkh
- .pl
- .plc
- .pli
- .pm
- .png
- .pot
- .potm
- .potx
- .ppd
- .ppf
- .pps
- .ppsm
- .ppsx
- .ppt
- .pptm
- .pptx
- .prc
- .prt
- .psa
- .psd
- .puz
- .pwf
- .pwi
- .pxp
- .qbb
- .qdf
- .qel
- .qif
- .qpx
- .qtiq
- .qtq
- .qtr
- .r00
- .r01
- .r02
- .r03
- .ra
- .rar
- .raw
- .res
- .rev
- .rgn
- .rnc
- .rng
- .rrt
- .rsrc
- .rsw
- .rte
- .rtf
- .rts
- .rtx
- .rum
- .run
- .rv
- .sad
- .saf
- .sav
- .scm
- .scn
- .scx
- .sdb
- .sdc
- .sdn
- .sds
- .sdt
- .sen
- .sfs
- .sfx
- .sh
- .shar
- .shr
- .shw
- .slt
- .snp
- .so
- .spr
- .sql
- .sqx
- .srf
- .srt
- .ssa
- .std
- .stt
- .stx
- .sud
- .svi
- .svr
- .swd
- .swf
- .t01
- .t03
- .t05
- .tar
- .tax2012
- .tax2013
- .tax2014
- .tbz2
- .tch
- .tcx
- .text
- .tg
- .thmx
- .tif
- .tiff
- .tlz
- .tpu
- .tpx
- .trp
- .tu
- .tur
- .txd
- .txf
- .txt
- .uax
- .udf
- .umx
- .unr
- .unx
- .uop
- .upoi
- .url
- .usa
- .usx
- .ut2
- .ut3
- .utc
- .utx
- .uvx
- .uxx
- .val
- .vc
- .vcd
- .vdo
- .ver
- .vhd
- .vmf
- .vmt
- .vsi
- .vtf
- .w3g
- .w3x
- .wad
- .war
- .wav
- .wave
- .waw
- .wbk
- .wdgt
- .wks
- .wm
- .wma
- .wmd
- .wmdb
- .wmmp
- .wmv
- .wmx
- .wow
- .wpk
- .wpl
- .wsh
- .wtd
- .wtf
- .wvx
- .xl
- .xla
- .xlam
- .xlc
- .xll
- .xlm
- .xlr
- .xls
- .xlsb
- .xlsm
- .xlsx
- .xltx
- .xlv
- .xlwx
- .xpi
- .xpt
- .xvid
- .xwd
- .yab
- .yps
- .z02
- .z04
- .zap
- .zip
- .zipx
- .zoo
- .gam
- .gif
- .grf
- .gzig
- .h3m
- .h4r
- .htm
- .idx
- .img
- .indd
- .ink
- .ipa
- .iso
- .isu
- .isz
- .itdb
- .itl
- .iwd
- .jar
- .jav
- .jiff
- .jpc
- .jpeg
- .jpf
- .jpg
- .jpw
- .js
- .kmz
- .kwd
- .lbi
- .lcd
- .lcf
- .ldb
- .lgp
- .lp2
- .ltm
- .ltr
- .lvl
- .mag
マルウェアは、以下のファイル名を使用し、暗号化されたファイルを改称します。
- {file name}.POSHCODER
マルウェアが作成する以下のファイルは、「TROJ_POSHCODER.A」として検出されるPowerShellの暗号化されたスクリプトのコンポーネントです。
- %User Temp%\Quest Software\PowerGUI\{GUID}\crypter.ps1
暗号化されるファイルのサイズが81,920バイトより大きい場合は、マルウェアは、ファイルの初めの81,920バイトをまず暗号化します。ファイルのサイズがより小さい場合は、マルウェアはファイル全体を暗号化します。
マルウェアは、暗号化されたファイルがあるすべてのフォルダにUNLOCKYOURFILES.htmlという名称のファイルを作成します。ブラウザを利用して開けると、ファイルには以下が含まれています。
マルウェアは、以下のメッセージボックスを表示します。
対応方法
手順 1
Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 2
このレジストリ値を削除します。
警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。
- In HKEY_CURRENT_USER\Software\Microsoft
- {GUID}0 = ""
- {GUID}0 = ""
- In HKEY_CURRENT_USER\Software\Microsoft
- {GUID}1 = ""
- {GUID}1 = ""
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- {GUID} = ""
- {GUID} = ""
手順 3
以下のフォルダを検索し削除します。
- %User Temp%\Quest Software\PowerGUI\{GUID}
手順 4
最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「TROJ_POSHCODER.A」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
ご利用はいかがでしたか？ アンケートにご協力ください