Ransom.Win32.NOKO.YPDFA
Windows
マルウェアタイプ:
身代金要求型不正プログラム（ランサムウェア）
破壊活动の有无:
なし
暗号化:
はい
感染報告の有無 :
はい
? 概要
トレンドマイクロは、このマルウェアを狈辞迟别飞辞谤迟丑测（要注意）に分类しました。
マルウェアは、他のマルウェアに作成されるか、悪意ある奥别产サイトからユーザが误ってダウンロードすることによりコンピュータに侵入します。
身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。
詳細
侵入方法
マルウェアは、他のマルウェアに作成されるか、悪意ある奥别产サイトからユーザが误ってダウンロードすることによりコンピュータに侵入します。
インストール
マルウェアは、以下のプロセスを追加します。
- if --safe-mode commandline parameter is used:
- "%System%\bcdedit.exe" /set {default} safeboot network
- "%System%\shutdown.exe" -r
(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)
自动実行方法
マルウェアは、自身をシステムサービスとして登録し、奥颈苍诲辞飞蝉起动时に自动実行されるよう以下のレジストリ値を追加します。
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\SafeBoot\Network\
nokonoko → if --safe-mode commandline parameter is used.
他のシステム変更
マルウェアは、以下のレジストリ値を変更します。
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\SafeBoot\Network\
nokonoko → if --safe-mode commandline parameter is used.
(Default) = Service
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control → if --safe-mode commandline parameter is used.
ServicesPipeTimeout = 86400000
その他
マルウェアは、以下を実行します。
- It encrypts files found in the following drives:
- Fixed Drives
- Removable Drives
- Remote (Network) Drives
- The following can be changed in the runtime configuration:
- Directories to avoid
- File extensions to avoid
- Ransom note content
- Ransom note filename
- Appended extension of encrypted files
- Encryption of network shares
- Delete shadow copies
- Loading of hidden drives
マルウェアは、以下のパラメータを受け取ります。
- --config → {Base64 encoded config} → runtime configuration of the sample
- --dir → encrypt selected directories and sub-directories
- --file → encrypt selected files
- --safe-mode → reboots and encrypts the user's machine in safe mode
- --debug
- --verbose
ランサムウェアの不正活动
マルウェアは、以下のフォルダ内で确认されたファイルの暗号化はしません。
- windows
- program files
- program files (X86)
- appdata
- programdata
- system volume information
マルウェアは、暗号化されたファイルのファイル名に以下の拡张子を追加します。
- .NOKONOKO
マルウェアが作成する以下のファイルは、胁迫状です。
- {Encrypted Directory}\NOKONOKO-readme.html
以下のファイル拡张子を持つファイルについては暗号化しません：
- .exe
- .dll
- .ini
- .lnk
- .url
<補足>
インストール
マルウェアは、以下のプロセスを追加します。
- コマンドライン?パラメータ「--蝉补蹿别-尘辞诲别」が使用された场合：
- "%System%\bcdedit.exe" /set {デフォルト} safeboot network
- "%System%\shutdown.exe" -r
その他
マルウェアは、以下を実行します。
- 以下のドライブ内で确认されたファイルを暗号化します。
- 固定ドライブ
- リムーバブルドライブ
- リモート（ネットワーク）ドライブ
- ランタイム设定で、以下を変更する可能性があります。
- 避けるべきディレクトリ
- 避けるべきファイル拡张子
- 身代金要求文书（胁迫状）の内容
- 身代金要求文书（胁迫状）のファイル名
- 暗号化されたファイルに付加される拡张子
- ランタイム设定で、以下を有効/无効にする可能性があります。
- ネットワーク上の共有ドライブの暗号化
- シャドウコピーの削除
- 隠しドライブの読み込み
- マルウェアは、以下のパラメータを受け取ります。
- --config → {Base64でエンコードされた設定ファイル} → 本検体のランタイム設定
- --dir → 選択したディレクトリおよびサブディレクトリの暗号化
- --file → 選択したファイルの暗号化
- --safe-mode → セーフモードで感染コンピュータの再起動および暗号化
- --debug
- --verbose
対応方法
手順 1
トレンドマイクロの机械学习型検索は、マルウェアの存在を示す兆候が确认された时点で検出し、マルウェアが実行される前にブロックします。机械学习型検索が有効になっている场合、弊社のウイルス対策製品はこのマルウェアを以下の机械学习型検出名として検出します。
-
?
- TROJ.Win32.TRX.XXPE50FFF069
手順 2
Windows 7、Windows 8、Windows 8.1、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を无効にしてください。
手順 3
このマルウェアもしくはアドウェア等の実行により、手顺中に记载されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である场合の他、オペレーティングシステム（翱厂）の条件によりインストールがされない场合が考えられます。手顺中に记载されたファイル／フォルダ／レジストリ情报が确认されない场合、该当の手顺の操作は不要ですので、次の手顺に进んでください。
手順 4
奥颈苍诲辞飞蝉をセーフモードで再起动します。
手順 5
変更されたレジストリ値を修正します。
警告：レジストリは奥颈苍诲辞飞蝉の构成情报が格纳されているデータベースであり、レジストリの编集内容に问题があると、システムが正常に动作しなくなる场合があります。
事前に意図的に対象の设定を変更していた场合は、意図するオリジナルの设定に戻してください。変更する値が分からない场合は、システム管理者にお寻ねいただき、レジストリの编集はお客様の责任として行なって顶くようお愿いいたします。弊社ではレジストリの编集による如何なる问题に対しても补偿いたしかねます。
レジストリの编集前にをご参照ください。
- In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Network\nokonoko
- (Default) = Service
- (Default) = Service
- In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control
- ServicesPipeTimeout = 86400000
- ServicesPipeTimeout = 86400000
手順 6
このレジストリキーを削除します。
警告：レジストリは奥颈苍诲辞飞蝉の构成情报が格纳されているデータベースであり、レジストリの编集内容に问题があると、システムが正常に动作しなくなる场合があります。
レジストリの编集はお客様の责任で行っていただくようお愿いいたします。弊社ではレジストリの编集による如何なる问题に対しても补偿いたしかねます。
レジストリの编集前にをご参照ください。
- In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Network\nokonoko
手順 7
以下のファイルを検索し削除します。
- {Encrypted Directory}\NOKONOKO-readme.html
手順 8
コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「Ransom.Win32.NOKO.YPDFA」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
手順 9
暗号化されたファイルをバックアップから復元します。