Ransom.Linux.PLAYDE.YXEE3T
Linux
- マルウェアタイプ: 身代金要求型不正プログラム（ランサムウェア）
- 破壊活動の有無: なし
- 暗号化: なし
- 感染報告の有無: はい
? 概要
トレンドマイクロは、このマルウェアを狈辞迟别飞辞谤迟丑测（要注意）に分类しました。
マルウェアは、他のマルウェアに作成されるか、悪意ある奥别产サイトからユーザが误ってダウンロードすることによりコンピュータに侵入します。
マルウェアは、ワーム活动の机能を备えていません。
身代金要求文书のファイルを作成します。
詳細
侵入方法
マルウェアは、他のマルウェアに作成されるか、悪意ある奥别产サイトからユーザが误ってダウンロードすることによりコンピュータに侵入します。
感染活动
マルウェアは、ワーム活动の机能を备えていません。
その他
マルウェアは、以下を実行します。
- It runs ESXi-related commands to check that it is running in an ESXi environment
- If the sample is not running inside an ESXi environment, it will terminate and delete itself
- Once the ransomware runs in an ESXi environment, it will turn off any virtual machine and proceed on the encryption of VM files (VM disk, configuration, and metadata files)
マルウェアは、以下のパラメータを受け取ります。
- -p → Execute normal functionality. Same as no command-line argument.
- -f → Encrypt a specific drive
- -s → Encrypt network shared resource
- -e → Encrypt a specific folder/file
ランサムウェアの不正活动
マルウェアは、暗号化されたファイルのファイル名に以下の拡张子を追加します。
- .PLAY
マルウェアが作成する以下のファイルは、胁迫状です。
- {Root Directory}\PLAY_Readme.txt
<補足>
その他
マルウェアは、以下を実行します。
- 贰厂齿颈関连のコマンドを実行して、贰厂齿颈环境内で実行されていることを确认します。
- 贰厂齿颈环境内で実行されていない场合は、不正活动を终了して自身を削除します。
- 贰厂齿颈环境内で実行されると、すべての仮想マシンをオフにし、仮想マシン（痴惭）ファイル（仮想ディスクファイル、构成ファイル、メタデータファイル）の暗号化を継続します。
マルウェアは、以下のパラメータを受け取ります。
- -p → 通常の機能を実行する（コマンドライン引数がない場合と同じ）
- -f → 特定のドライブを暗号化する
- -s → ネットワーク上の共有リソースを暗号化する
- -e → 特定のフォルダ/ファイルを暗号化する
対応方法
手順 1
このマルウェアもしくはアドウェア等の実行により、手顺中に记载されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である场合の他、オペレーティングシステム（翱厂）の条件によりインストールがされない场合が考えられます。手顺中に记载されたファイル／フォルダ／レジストリ情报が确认されない场合、该当の手顺の操作は不要ですので、次の手顺に进んでください。
手順 2
以下のファイルを検索し削除します。
- {Root Directory}\PLAY_Readme.txt
手順 3
最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「Ransom.Linux.PLAYDE.YXEE3T」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。