Win32/Filecoder.Sigma.A
公開日：2018年03月01日
危険度：1
| 定義名称 | Win32/Filecoder.Sigma.A |
|---|---|
| シグネチャ検査による結果だった場合 | Win32/Filecoder.Sigma.A |
| 種別 | トロイの木馬、ランサムウェア |
| アドバンスドヒューリスティック検査による結果だった場合 | このオリジナルのトロイを利用した新種、亜種が検出された場合は、「NewHeur_PE」もしくは「Win32/Filecoder.Sigma.Aの亜種 トロイの木馬」という名称で警告が出ます。 |
| 対応時期 | バージョン16795（20180125）以降 |
| 影響を受けるプラットフォーム | Microsoft Windows |
| 概要 | このトロイの木馬は、ローカルドライブのファイルを暗号化します。ファイルを復号するためのパスワードや手順と引き換えに、特定の条件に従うようユーザーに要求します。詳しい活動内容については、下記をご参照ください。 |
検出した場合の対処方法
常駐監視を行っている各検査プログラムによって検出された場合は、駆除もしくは削除を行ってください。駆除もしくは削除ができない場合は、Windows のシステムの復元により修復しなければならない可能性があります。
対象のファイルが身に覚えのないファイル名の場合は、そのファイル自身がウイルスそのものである可能性が高いので、駆除ではなくすべて削除をしてください。これにより2次感染、3次感染を防げます。また、自分が作成したデータ等に感染していた場合は、駆除が可能な場合もありますが、駆除のボタンが押せない状態もしくは駆除しても失敗する場合は、すでに元のデータの戻せない状態までデータが書き換えられている場合もあります。この場合もすべて削除してください。
解説での表記(用語)について
以下の説明文では、環境変数を利用して各ファイルやディレクトリへのパスを表記しています。
例:
%windir% : Windowsオペレーティングシステムがインストールされたディレクトリのパス(インストール時の設定により異なる場合があります)。
%system% : %windir% のサブディレクトリである"System"や"System32"のパス。
%malwarefilepath% : マルウェアプログラムまでのパス。
%malwarefilename% : マルウェアプログラムまでのファイル名。
その他に関しては、以下のページも参考にしてください。
Microsoft Malware Protection Center - Malware help
Common Folder variables
解説
侵入(インストレーション)について
このトロイの木馬は、実行時に自身を次の場所にコピーします。
%appdata%\Microsoft\%variable%\taskwgr.exe
%variable%には可変の文字列が入ります。
システムが起動するたびに実行されるよう、次のレジストリーエントリーを設定します。
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"chrome" = "Rundll32.exe SHELL32.DLL,ShellExec_RunDLL %appdata%\Microsoft\%variable%\taskwgr.exe"
1つのURLを保持しています。
そのURLからファイルをダウンロードしようとします。
ダウンロードしたファイルを次の場所に保存します。
%appdata%\Microsoft\%variable%\System.zip
このアーカイブファイルのコンテンツを次のフォルダーに抽出します。
%appdata%\Microsoft\%variable%\Tor
ファイルを移動しようとします。（移動元、移動先）
%appdata%\Microsoft\%variable%\Tor\tor.exe, %appdata%\Microsoft\%variable%\Tor\svchost.exe
このファイルを実行します。
次のファイルを削除します。
%appdata%\Microsoft\%variable%\System.zip
ペイロード情報
このトロイの木馬は、ローカルドライブのファイルを暗号化します。
次の拡張子を持つファイルをローカルドライブで探します。
.001
.602
.3g2
.3gp
.3pr
.7z
.7zip
.aac
.ab4
.abd
.acc
.accdb
.accde
.accdr
.accdt
.ach
.acr
.act
.adb
.adp
.ads
.aes
.agdl
.ai
.aiff
.ait
.al
.aoi
.apj
.apk
.arc
.arw
.ascx
.asf
.asm
.asp
.aspx
.asset
.asx
.atb
.avi
.awg
.back
.backup
.backupdb
.bak
.bank
.bat
.bay
.bdb
.bgt
.bik
.bin
.bkp
.blend
.bmp
.bpw
.brd
.bsa
.bz2
.c
.cash
.cdb
.cdf
.cdr
.cdr3
.cdr4
.cdr5
.cdr6
.cdrw
.cdx
.ce1
.ce2
.cer
.cfg
.cfn
.cgm
.cib
.class
.cls
.cmd
.cmt
.config
.contact
.cpi
.cpp
.cr2
.craw
.crt
.crw
.cry
.cs
.csh
.csl
.csr
.css
.csv
.d3dbsp
.dac
.das
.dat
.db_journal
.db3
.dbdb
.dbf
.dbx
.dc2
.dch
.dcr
.dcs
.ddd
.ddoc
.ddrw
.dds
.def
.der
.des
.design
.dgc
.dgn
.dif
.dip
.dit
.djv
.djvu
.dng
.doc
.docb
.docm
.dotx
.drf
.drw
.dtd
.dwg
.dxb
.dxf
.dxg
.edb
.eml
.eps
.erbsql
.erf
.exf
.fdb
.ffd
.fff
.fh
.fhd
.fla
.flac
.flb
.flf
.flv
.flvv
.forge
.fpx
.frm
.fxg
.gbr
.gho
.gif
.gpg
.gray
.grey
.groups
.gry
.gz
.h
.hbk
.hdd
.hpp
.html
.hwp
.ibank
.ibd
.ibz
.idx
.iif
.iiq
.incpas
.indd
.info
.info_
.iwi
.jar
.java
.jnt
.jpe
.jpeg
.jpg
.js
.json
.k2p
.kc2
.kdbx
.kdc
.key
.kpdx
.kwm
.laccdb
.lay
.lay6
.lbf
.lck
.ldf
.lit
.litemod
.litesql
.lock
.ltx
.lua
.m
.m2ts
.m3u
.m4a
.m4p
.m4u
.m4v
.ma
.mab
.mapimail
.max
.mbx
.md
.mdb
.mdc
.mdf
.mef
.mfw
.mid
.mkv
.mlb
.mml
.mmw
.mny
.money
.moneywell
.mos
.mov
.mp3
.mp4
.mpeg
.mpg
.mrw
.ms11
.msf
.msg
.mts
.myd
.myi
.nd
.ndd
.ndf
.nef
.nk2
.nop
.nrw
.ns2
.ns3
.ns4
.nsd
.nsf
.nsg
.nsh
.nvram
.nwb
.nx1
.nx2
.nyf
.oab
.obj
.odb
.odc
.odf
.odg
.odm
.odp
.ods
.odt
.ogg
.oil
.omg
.one
.onenotec2
.orf
.ost
.otg
.oth
.otp
.ots
.ott
.p12
.p7b
.p7c
.pab
.pages
.paq
.pas
.pat
.pbf
.pcd
.pct
.pdb
.pdd
.pdf
.pef
.pem
.pfx
.php
.pif
.pl
.plc
.plus_muhd
.pm
.pm!
.pmi
.pmj
.pml
.pmm
.pmo
.pmr
.pnc
.pnd
.png
.pnx
.pot
.potm
.potx
.ppam
.pps
.ppsm
.ppsx
.ppt
.pptm
.pptx
.prf
.private
.ps
.psafe3
.psd
.pspimage
.pst
.ptx
.pub
.pwm
.py
.qba
.qbb
.qbm
.qbr
.qbw
.qbx
.qby
.qcow
.qcow2
.qed
.qtb
.r3d
.raf
.rar
.rat
.raw
.rb
.rdb
.re4
.rm
.rtf
.rvt
.rw2
.rwl
.rwz
.s3db
.safe
.sas7bdat
.sav
.save
.say
.sch
.sd0
.sda
.sdb
.sdf
.secret
.sh
.sldm
.sldx
.slk
.slm
.sql
.sqlite
.sqlite3
.sqlitedb
.sqlite-shm
.sqlite-wal
.sr2
.srb
.srf
.srs
.srt
.srw
.st4
.st5
.st6
.st7
.st8
.stc
.std
.sti
.stl
.stm
.stw
.stx
.svg
.swf
.sxc
.sxd
.sxg
.sxi
.sxm
.sxw
.tar
.tax
.tbb
.tbk
.tbn
.tex
.tga
.tgz
.thm
.tif
.tiff
.tlg
.tlx
.txt
.uop
.uot
.upk
.usr
.vb
.vbox
.vbs
.vdi
.vhd
.vhdx
.vmdk
.vmsd
.vmx
.vmxf
.vob
.vpd
.vsd
.wab
.wad
.wallet
.war
.wav
.wb2
.wk1
.wks
.wma
.wmf
.wmv
.wpd
.wps
.x11
.x3f
.xis
.xla
.xlam
.xlc
.xlk
.xlm
.xlr
.xls
.xlsb
.xlsm
.xlsx
.xlt
.xltm
.xltx
.xlw
.xml
.xps
.xxx
.ycbcra
.yuv
.zip
パスに次の文字列のいずれかが含まれているファイルは暗号化しません。
$
All Users
AppData
Program Files
Program Files (x86)
ProgramData
RECYCLER
system32
Windows
目的のファイルを見つけたら、そのコンテンツを暗号化します。
暗号化にはRSAとAESのアルゴリズムが使用されます。
ファイルを復号するためのパスワードや手順と引き換えに、特定の条件に従うようユーザーに要求します。
ドライブを検索する際、アクセスしたすべてのフォルダーに次のファイルを作成します。
ReadMe.txt
このファイルには次のテキストが記述されています。
What has happened to my files ? Why i am seeing this ? All of your files have been encrypted with RSA 2048 Encryption. Which means, you wont be able to open them or view them properly. It does NOT mean they are damaged. Solution Well its quite simple only we can decrypt your files because we hold your RSA 2048 private key. So you need to buy the special decryption software and your RSA private key from us if you ever want your files back. Once payment is made, you will be given a decrypter along with your private key , once you run that , All of your files will be unlocked and back to normal. So there are 2 ways to do this either you wait for a miracle and get your price doubled or follow instructions below carefully and get back your all important files. Payment procedure First try to open decrypter page in normal browser http://%redacted%.onion.link http://%redacted%.onion.plus http://%redacted%.onion.rip http://%redacted%.onion.casa Wait a few seconds, and site will open then enter your GUID mentioned below and process. 6D5E895FD8387CD0D2314B456B1F8E7A If you failed to open links in normal browsers Download a special browser called "TOR browser" and then open the given below link. Steps for the same are - 1. Go to https://www.torproject.org/download/download-easy.html.en to download the "TOR Browser". 2. Click the purple button which says "Download TOR Browser" 3. Run the downloaded file, and install it. 4. Once installation is completed, run the TOR browser by clicking the icon on Desktop. 5. Now click "Connect button", wait a few seconds, and the TOR browser will open. 6. Copy and paste the below link in the address bar of the TOR browser. http://%redacted%.onion/ Now HIT "Enter" 7. Wait a few seconds, and site will open then enter your GUID mentioned below and process. 6D5E895FD8387CD0D2314B456B1F8E7A If you have problems during installation or use of Tor Browser, please, visit Youtube and search for "Install Tor Browser Windows" and you will find a lot of videos.
次のファイルを作成します。
%appdata%\Microsoft\%variable%\test.bmp
次のファイルのコピーを作成します。（コピー元、コピー先）
%appdata%\Microsoft\%variable%\test.bmp, %appdata%\Microsoft\%variable%\test1.bmp
このファイル/画像が壁紙として設定されます。
次のレジストリーエントリーを設定します。
[HKEY_CURRENT_USER\Control Panel\Desktop]
"Wallpaper" = "%appdata%\Microsoft\%variable%\test1.bmp"
次のファイルを作成します。
%desktop%\ReadMe.html
関連付けられたデフォルトのアプリケーションを使用してファイルを開きます。
次のファイルを削除します。
%appdata%\Microsoft\%variable%\taskwgr.exe
%variable%には可変の文字列が入ります。
情報の取得
このトロイの木馬は、個人情報を盗み出します。
次の情報を収集します。
コンピューター名
国
OSのバージョン
ユーザー名
収集した情報をリモートのコンピューターに送信しようとします。
1つのURLを保持しています。通信にはTORプロトコルが使用されます。
その他の情報
このトロイの木馬は、次のフォルダーに保存されたファイルを削除する場合があります。
%temp%
実行先が特定の仮想環境内であることを検出すると、自身の実行を終了します。