RANSOM_XORBAT.A
Trojan-Ransom.BAT.Agent.ay (Kaspersky)
Windows
マルウェアタイプ:
トロイの木马型
破壊活动の有无:
なし
暗号化:
なし
感染報告の有無 :
はい
? 概要
マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。
詳細
侵入方法
マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。
インストール
マルウェアは、以下のファイルを作成します。
- %Desktop%\DECRYPT.txt - ransom note
- %User Temp%\809133.txt - ransom note
- %User Temp%\809133.cmd - uses 809133.exe to encrypt files. This is deleted after file encryption
(註：%Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)
他のシステム変更
マルウェアは、インストールの过程で、以下のレジストリ値を追加します。
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
.crypted
(Default) = "Crypted"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Crypted\shell\open\
command
(Default) = "notepad.exe %User Temp%\809133.txt"
その他
マルウェアは、以下の拡张子をもつファイルを暗号化します。
- *.zip
- *.rar
- *.7z
- *.tar
- *.gz
- *.xls
- *.xlsx
- *.doc
- *.docx
- *.rtf
- *.ppt
- *.pptx
- *.sxi
- *.odm
- *.odt
- *.mpp
- *.ssh
- *.pub
- *.gpg
- *.pgp
- *.kdb
- *.kdbx
- *.als
- *.aup
- *.cpr
- *.npr
- *.cpp
- *.bas
- *.asm
- *.cs
- *.php
- *.pas
- *.vb
- *.vcproj
- *.vbproj
- *.mdb
- *.accdb
- *.mdf
- *.odb
- *.wdb
- *.csv
- *.tsv
- *.psd
- *.eps
- *.cdr
- *.cpt
- *.indd
- *.dwg
- *.max
- *.skp
- *.scad
- *.cad
- *.3ds
- *.blend
- *.lwo
- *.lws
- *.mb
- *.slddrw
- *.sldasm
- *.sldprt
- *.u3d
- *.jpg
- *.tiff
- *.tif
- *.raw
- *.avi
- *.mpg
- *.mp4
- *.m4v
- *.mpeg
- *.mpe
- *.wmf
- *.wmv
- *.veg
- *.vdi
- *.vmdk
- *.vhd
- *.dsk
対応方法
手順 1
Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を无効にしてください。
手順 2
このマルウェアもしくはアドウェア等の実行により、手顺中に记载されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である场合の他、オペレーティングシステム（翱厂）の条件によりインストールがされない场合が考えられます。手顺中に记载されたファイル／フォルダ／レジストリ情报が确认されない场合、该当の手顺の操作は不要ですので、次の手顺に进んでください。
手順 3
不明なレジストリキーを削除します。
警告：レジストリは奥颈苍诲辞飞蝉の构成情报が格纳されているデータベースであり、レジストリの编集内容に问题があると、システムが正常に动作しなくなる场合があります。
レジストリの编集はお客様の责任で行っていただくようお愿いいたします。弊社ではレジストリの编集による如何なる问题に対しても补偿いたしかねます。
レジストリの编集前にをご参照ください。
- In HKEY_LOCAL_MACHINE\SOFTWARE\Classes
- .crypted
- .crypted
手順 4
このレジストリ値を削除します。
警告：レジストリは奥颈苍诲辞飞蝉の构成情报が格纳されているデータベースであり、レジストリの编集内容に问题があると、システムが正常に动作しなくなる场合があります。
レジストリの编集はお客様の责任で行っていただくようお愿いいたします。弊社ではレジストリの编集による如何なる问题に対しても补偿いたしかねます。
レジストリの编集前にをご参照ください。
- In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Crypted\shell\open\command
- (Default) = "notepad.exe %User Temp%\809133.txt"
- (Default) = "notepad.exe %User Temp%\809133.txt"
手順 5
以下のファイルを検索し削除します。
- %Desktop%\DECRYPT.txt
- %User Temp%\809133.txt
- %User Temp%\809133.exe
- %User Temp%\809133.cmd
手順 6
最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「RANSOM_XORBAT.A」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。