2018年4月16日

株式会社Doctor Web Pacific

Doctor Webのスペシャリストによって、新たな暗号化トロイの木馬についての分析が行われました。このエンコーダによって暗号化されたファイルは、サイバー犯罪者によるエラーのため、多くの場合、復元することができません。

この新たな暗号化トロイの木馬は Trojan.Encoder.25129 と名付けられました。Dr.Webアンチウイルスの予防的保護は、このトロイの木馬を自動的に DPH:Trojan.Encoder.9 として検出します。起動されると、 Trojan.Encoder.25129 は感染したデバイスのIPアドレスに基づいてユーザーの所在地を確認します。このトロイの木馬は、デバイスがロシア、ベラルーシ、カザフスタンにある場合、またはシステムの言語や地域の設定でロシア語やロシアが設定されている場合にはファイルを暗号化しないよう設計されています。しかしながら、コードのエラーにより、このエンコーダーはIPアドレスの所在地に関係なくすべてのファイルを暗号化します。

Trojan.Encoder.25129 はカレントユーザーのフォルダ、 Windows デスクトップ、 AppDataおよび LocalAppData システムフォルダのコンテンツを暗号化します。暗号化は AES-256-CBC アルゴリズムを使用して行われ、暗号化されたファイルには拡張子「.tron」が付きます。 30,000,000バイト(約28.6MB)を超えるファイルは暗号化されません。暗号化が完了すると、 %ProgramData%\\trig ファイルが作成され、そこに「123」の値が書き込まれます(このファイルがすでに存在している場合、暗号化は行われません)。次に、トロイの木馬はWebサイト iplogger にリクエストを送信します。サイトのアドレスはトロイの木馬本体にハードコードされています。続けて、 Trojan.Encoder.25129 は身代金を要求するウィンドウを表示させます。

身代金の要求額は0.007305～0.04ビットコインと、異なります。「HOW TO BUY BITCOIN」ボタンをクリックすると、仮想通貨ビットコインを購入する方法について説明するウィンドウがトロイの木馬によって表示されます。

身代金を要求するテキストには、被害者は暗号化されたファイルを復元することができると記載されていますが、コードのエラーにより、多くの場合、復元することは不可能です。

このトロイの木馬は、Dr.Web製品の予防的保護によって検出・削除されます。したがって、Dr.Webユーザーに危害が及ぶことはありません。また、Doctor Webでは、重要なデータのバックアップをタイムリーに取ることをお勧めしています。

Trojan.Encoder.25129の詳細