Ransom.MSIL.FREEZING.A
Windows
- マルウェアタイプ: 身代金要求型不正プログラム（ランサムウェア）
- 破壊活動の有無: なし
- 暗号化: はい
- 感染報告の有無: はい
? 概要
マルウェアは、他のマルウェアに作成されるか、悪意ある奥别产サイトからユーザが误ってダウンロードすることによりコンピュータに侵入します。
詳細
侵入方法
マルウェアは、他のマルウェアに作成されるか、悪意ある奥别产サイトからユーザが误ってダウンロードすることによりコンピュータに侵入します。
マルウェアは、以下の方法でコンピュータに侵入します。
- Injected in Powershell.exe process by Trojan.PS1.FREEZING.A
作成活动
マルウェアは、以下のファイルを作成します。
- %ProgramData%\.FreezedByMagic.LOG - contains the following information:
- Malware Process ID
- Processor Count
- Drives to encrypt
- Total number fo files encrypted
- Duration of encryption (in seconds and minutes)
(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )
ランサムウェアの不正活动
マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。
- .exe
- .sys
- .dll
- .msi
- .iso
- .cab
- .ReadMe.txt
- .LOG
マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。
- Windows
- ProgramData
- ProgramFiles
- Boot
マルウェアは、以下の名称を利用して暗号化されたファイルのファイル名を改称します。
- {filename and extension}.Freezing - during encryption
- {filename and extension}.FreezedByWizard - after successful encryption
マルウェアが作成する以下のファイルは、胁迫状です。
- {drive of encrypted files}\.FreezedByWizard.README.TXT
マルウェアは、以下の内容を含む胁迫状のテキストファイルを残します。
対応方法
手順 1
Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を无効にしてください。
手順 2
このマルウェアもしくはアドウェア等の実行により、手顺中に记载されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である场合の他、オペレーティングシステム（翱厂）の条件によりインストールがされない场合が考えられます。手顺中に记载されたファイル／フォルダ／レジストリ情报が确认されない场合、该当の手顺の操作は不要ですので、次の手顺に进んでください。
手順 3
奥颈苍诲辞飞蝉をセーフモードで再起动します。
手順 4
以下のファイルを検索し削除します。
- %ProgramData%\.FreezedByMagic.LOG
- {drive of encrypted files}\.FreezedByWizard.README.TXT
手順 5
コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「Ransom.MSIL.FREEZING.A」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。