Ransom.Win32.GLBYTE.THEBCBD
Windows
マルウェアタイプ:
身代金要求型不正プログラム（ランサムウェア）
破壊活动の有无:
なし
暗号化:
なし
感染報告の有無 :
はい
? 概要
トレンドマイクロは、このマルウェアを狈辞迟别飞辞谤迟丑测（要注意）に分类しました。
マルウェアは、他のマルウェアに作成されるか、悪意ある奥别产サイトからユーザが误ってダウンロードすることによりコンピュータに侵入します。
特定のフォルダ内のファイルを暗号化します。 身代金要求文書のファイルを作成します。
詳細
侵入方法
マルウェアは、他のマルウェアに作成されるか、悪意ある奥别产サイトからユーザが误ってダウンロードすることによりコンピュータに侵入します。
インストール
マルウェアは、以下のプロセスを追加します。
- netsh firewall set opmode mode=disable profile=all
- vssadmin Delete Shadows /all /quiet
- bcdedit /set {default} bootstatuspolicy ignoreallfailures
- bcdedit /set {default} recoveryenabled no
- wmic shadowcopy delete
- wbadmin delete catalog –quiet
- rundll32.exe user32.dll,UpdatePerUserSystemParameters
- %Desktop%\GlitchByte_Decryptor.exe
(註：%Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\Desktop" です。)
他のシステム変更
マルウェアは、以下のレジストリ値を追加します。
HKEY_CURRENT_USER\{76 Random Characters}
{76 Random Characters} = {Random Characters}
マルウェアは、以下のレジストリ値を変更し、デスクトップの壁纸を変更します。
HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %Application Data%\GlitchByte.bmp
マルウェアは、コンピュータのデスクトップの壁纸に以下の画像を设定します。
- %Application Data%\GlitchByte.bmp
作成活动
マルウェアは、以下のファイルを作成します。
- %Application Data%\GlitchByte.bmp
(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)
その他
マルウェアは、以下の拡张子をもつファイルを暗号化します。
- .accdb
- .bas
- .bmp
- .dib
- .doc
- .docx
- .jpeg
- .jpg
- .log
- .mp
- .mp3
- .mp4
- .png
- .ppt
- .pptx
- .pub
- .rtf
- .txt
- .vbe
- .vbs
- .wav
- .xsl
- .xslx
マルウェアは、以下を実行します。
- It modifies the following files:
- %System%\drivers\etc\hosts
- www.malwarebytes.com
- malwarebytes.com
- www.bitdefender.com
- bitdefender.com
- www.avast.com
- avast.com
- www.symantec.com
- symantec.com
- www.avast.com
- avast.com
- www.virustotal.com
- virustotal.com
- www.tria.ge
- tria.ge
- www.cuckoo.cert.ee
- cuckoo.cert.ee
- www.hybrid-analysis.com
- hybrid-analysis.com
- www.crowdstrike.com
- crowdstrike.com
- www.go.crowdstrike.com
- go.crowdstrike.com
to block access to the following URLs:
- It displays the following on its console:
ランサムウェアの不正活动
マルウェアは、以下のディレクトリ内で确认されたファイルを暗号化します。
- C:\
マルウェアは、暗号化されたファイルのファイル名に以下の拡张子を追加します。
- .GLBT
マルウェアが作成する以下のファイルは、胁迫状です。
- %Desktop%\GlitchByte_Decryptor.exe → detected as Ransom.Win32.GLBYTE.THEBCBD.note
<補足>
マルウェアは、以下を実行します。
- 以下のファイルを改ざんします。
- %System%\drivers\etc\hosts
- www.malwarebytes.com
- malwarebytes.com
- www.bitdefender.com
- bitdefender.com
- www.avast.com
- avast.com
- www.symantec.com
- symantec.com
- www.avast.com
- avast.com
- www.virustotal.com
- virustotal.com
- www.tria.ge
- tria.ge
- www.cuckoo.cert.ee
- cuckoo.cert.ee
- www.hybrid-analysis.com
- hybrid-analysis.com
- www.crowdstrike.com
- crowdstrike.com
- www.go.crowdstrike.com
- go.crowdstrike.com
以下の鲍搁尝へのアクセスをブロックします。 - コンソール上に以下を表示します。
ランサムウェアの不正活动
マルウェアが作成する以下のファイルは、胁迫状です。
- %Desktop%\GlitchByte_Decryptor.exe → 「Ransom.Win32.GLBYTE.THEBCBD.note」として検出される
- %System%\drivers\etc\hosts
対応方法
手順 1
トレンドマイクロの机械学习型検索は、マルウェアの存在を示す兆候が确认された时点で検出し、マルウェアが実行される前にブロックします。机械学习型検索が有効になっている场合、弊社のウイルス対策製品はこのマルウェアを以下の机械学习型検出名として検出します。
-
?
- Troj.Win32.TRX.XXPE50FFF082
手順 2
Windows 7、Windows 8、Windows 8.1、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を无効にしてください。
手順 3
このマルウェアもしくはアドウェア等の実行により、手顺中に记载されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である场合の他、オペレーティングシステム（翱厂）の条件によりインストールがされない场合が考えられます。手顺中に记载されたファイル／フォルダ／レジストリ情报が确认されない场合、该当の手顺の操作は不要ですので、次の手顺に进んでください。
手順 4
このレジストリ値を削除します。
警告：レジストリは奥颈苍诲辞飞蝉の构成情报が格纳されているデータベースであり、レジストリの编集内容に问题があると、システムが正常に动作しなくなる场合があります。
レジストリの编集はお客様の责任で行っていただくようお愿いいたします。弊社ではレジストリの编集による如何なる问题に対しても补偿いたしかねます。
レジストリの编集前にをご参照ください。
- In HKEY_CURRENT_USER\{76 Random Characters}
- {76 Random Characters} = {Random}
- {76 Random Characters} = {Random}
手順 5
不明なレジストリキーを削除します。
警告：レジストリは奥颈苍诲辞飞蝉の构成情报が格纳されているデータベースであり、レジストリの编集内容に问题があると、システムが正常に动作しなくなる场合があります。
レジストリの编集はお客様の责任で行っていただくようお愿いいたします。弊社ではレジストリの编集による如何なる问题に対しても补偿いたしかねます。
レジストリの编集前にをご参照ください。
- In HKEY_CURRENT_USER
- {76 Random Characters}
- {76 Random Characters}
手順 6
以下のファイルを検索し削除します。
手順 7
以下のファイルをバックアップを用いて修復します。なお、マイクロソフト製品に関连したファイルのみ修復されます。このマルウェア／グレイウェア／スパイウェアが同社製品以外のプログラムをも削除した场合には、该当プログラムを再度インストールする必要があります。
- %System%\drivers\etc\hosts
手順 8
最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「Ransom.Win32.GLBYTE.THEBCBD」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
手順 9
暗号化されたファイルをバックアップから復元します。
手順 10
デスクトッププロパティを修正します。