ランサムウェア総合スレ Part4 [無断転載禁止]©2ch.net

話題のランサムウェアの情報を共有しましょう。

ランサムウェアに感染した場合、PC内のデータを暗号化されてしまい元に戻すための身代金を要求してきます。
たとえバックアップを用意していても、ランサムウェア感染時にバックアップをPCとつないでおくとバックアップ側もすべて暗号化されてしまうので注意しましょう。

残念ながら暗号化された場合は、バックアップからPCを古い状態に戻して(古いファイルを)復活させるか、身代金を払って暗号化を解除してもらうしかありません。
ただし一部のランサムウェアについては、セキュリティ企業などが暗号化を解除するためのソフトを配っている事があり、無料で元に戻すことができる場合もあります。

攻撃手法は主に3つ
普通のサイトを改ざんしてExploitKit経由で脆弱性を攻撃する手法
不正広告を広告枠に表示させてExploitKit経由で脆弱性を攻撃する手法
メールでウイルスを送り付けて感染させる手法(officeファイルのマクロ機能経由を狙ったもの、通称マクロウイルスが特に多い)

■前スレ
ランサムウェア総合スレ Part3 [無断転載禁止]©2ch.net
http://tamae.2ch.net/test/read.cgi/sec/1462861333/

■テンプレ
スレ立て時には本文の文頭に｢!extend:checked:vvvvvv｣を入れて立てて下さい｡
強制IDで、業者、個人のスマホや複数回線を使っての自演がある程度わかるようになります

---

VIPQ2_EXTDAT: default:vvvvvv:1000:512:----: EXT was configured

感染を防ぐ方法 (重要)
1.サポート切れのOSは使わない、サポートが継続しているOSに乗り換える。
2.アプリを常に最新版に更新しておき、WindowsUpdateもしておく。
(特に攻撃されやすいFlash・Java・Silverlight・ブラウザは要注意)

感染を防ぐ方法 (その他)
1.不審なメールの添付ファイルは開かない。
2.Flashはクリックしてから実行するように設定を変える。
4.ublock origin等で広告自体をブロック。豆腐フィルタ等の日本向けフィルタも入れる。
5.Malwarebytes Anti-Exploit等の脆弱性攻撃対策用のセキュリティソフトを追加で入れる。
6.不安ならMalwarebytes Anti-RansomwareやBitdefender Anti-Ransomwareなどランサムウェア対策用のセキュリティソフトを追加で入れる。
7.更に不安ならレピュテーション技術に対応してるセキュリティソフトに入れ替える。

ランサムウェアについては海外の大手セキュリティサイトが一番情報が多いと思われる
ただし当然英語
http://www.bleepingcomputer.com/

詳しい人お願いします。
迷惑メールに添付されていた圧縮ファイルを解凍したものです。
念のため元の拡張子は.jsですが.txtに変えています。
やはり新手のウイルスでしょうか？（最初、中盤、最後に命令が書いてある）

どっとうｐろだにtxt形式で
http://www.dotup.org/uploda/www.dotup.org857510.txt.html

今日までビッグサイトで情報セキュリティEXPOが開かれてたけど行った人いるかな？
FireEyeっていうセキュリティ業界では知らない人はいない会社の社長の講演があったけど、ランサムウェアはほとんどの場合、支払えばファイルは復号できるとの話があったようだね
ちなみに、別に支払いを薦めているわけでは全くなく、事実としてそういうことだ、という話ね


本日はマンディアおじさんの話を聴いてきましたが
https://www.ist-expo.jp/haru/seminar/#IST-S
途中「クレジットカードのセキュリティ強化により金銭目的のサイバー犯罪者たちは一昔前のカーダープラネットのようなところからランサムウェアとビットコインへとシフトしている」みたいな話があって、ああそうだなぁと思いました
ちなみにランサムウェアの身代金支払いについては「支払えばファイルは復号できる、諸々の損害額よりその方が安い」のようなことだけを仰っていて、「支払ってはならない」とは一言も仰っていなかったのが印象的でした

https://twitter.com/0x009AD6_810/status/730338622671441920
https://twitter.com/0x009AD6_810/status/730338751746973696
https://twitter.com/0x009AD6_810/status/730341191561043968

三上洋も先日、同じようなこと言ってたね

「ランサムウェアがビジネス化して、信用を重視しはじめてきた」
http://ascii.jp/elem/000/001/159/1159153/index-2.html

セキュリティ業界で論点になっているのが、“ランサムウェアの被害を受けたときに、お金を支払うべきか否か？“という問題です。
（中略）
つまり、テロ行為ではなく金銭目的の犯罪なので、被害者のデータを本当に壊してしまっては意味がないんです。
先ほど解説したように、すでに仲介ビジネスと化しているので、信用が必要なのです。
ランサムウェアを作成した仲介業者からすると『お金を支払ったらちゃんと元に戻る』という風評が広まってくれたほうが都合良いわけです。
現状は変な話、ランサムウェアは信用第一になっておりまして（笑）、ほとんどの場合、お金を支払うことで元に戻っちゃいます。というわけで、このへんは論点になっていますね。
（中略）
それでもどうにもならないときは、支払うことも選択肢の1つかもしれません、ということです。
しかしながら100％元に戻る保証はありませんし、そのお金が犯罪者に渡ってしまうということも考慮に入れるべきですね。

なんのランサムウェアに感染したのかは知らないけど、そういうことをするウイルスはあるし、技術的にも簡単にできる

ほかのノートンとか試すとか、それでもだめなら他のPCでインストーラーをダウンロードするか、他のPCでLiveCDを作ってやるとかの方法かな

感染経路がわからない人はPCをネットに接続せずに使うことをオススメします

素人であろうとなんであろうと
・たぶんあれが原因→その対策をする
という確度が低くても、思い込みでも「なにかしら対策をする」行為をしないなら、ネット接続する資格が有りません

PCを起動したらネットワークの場所フォルダに
ランサムウェアで作成されたとおぼしきhtmlが作成されていたので
手動であやしいタスクを止めてノートンをインスコして検索かけたら
トロイ(trojan.zbotとtrojan.cidox.e)だったのですが
ランサムウェアってトロイとして検出されるのでしょうか？
ファイルが暗号化された形跡はないので、ランサムウェアではなくただのトロイだったのかな
潜伏されていたら怖い

・データを取り返せる可能性がある
・ランサムウェア犯罪者は信用出来る

支払うようアドバイスしている理由は、この二つが書かれているね。

最も、
・払うことにより犯罪が助長される
・データを取り返せる保証がない

という理由で、このFBI捜査官の助言に否定的なものは多くいるし、連邦政府関係機関とFBIが払わない方がいいと訴えてきたことも書かれている。

何にせよ、払う場合は「犯罪者を一方的に信用する」ということになるわけで、法に守られた契約ではないということも頭に入れておいた方がいいわけだ。

part3の>758さんへ
http://www.bleepingcomputer.com/news/security/cryptxxx-providing-free-keys-for-crypz-and-cryp1-versions/
ここで対応するウイルスのアドレスに進んで、感染したときに提示された１２桁のＩＤを入力（英文の脅迫文の中にある）
すると解読コード？が表示されるのでUltraDecryptorをダウンロードして説明通りにやったら出来ました
国旗をクリックで日本語対応、説明タブでやり方があります

http://www.geocities.co.jp/Playtown-Yoyo/6130/notes/virus-ransomware-cryptxxx.htm
こちらで新種や、復号キーなどの進展をチェックしていました
今回のcrypzの復号キー開示は一部バージョンのみらしいのです

>>1
おつ！

ここが新スレか

>>11
？
「対応するウィルスのアドレスヘ進む」って、どうやって？
教えて下さい。m(_ _)m

age

テスト。

ランサムウェア対策まとめ(日本語)
http://www.geocities.co.jp/Playtown-Yoyo/6130/notes/virus-ransomware.htm
感染したランサムウェアの特定サイト
https://id-ransomware.malwarehunterteam.com/index.php?lang=ja_JP
Bleeping Computer Ransomeware Help
http://www.bleepingcomputer.com/virus-removal/threat/ransomware/
Ransomware Overview
https://docs.google.com/spreadsheets/d/1TWS238xacAto-fLKh1n5uTsdijWdCEsGIM0Y0Hvmc5g/pubhtml#
Trendmicro ランサムウェア ファイル復号ツール
https://esupport.trendmicro.com/support/vb/solution/ja-jp/1114210.aspx

>>17
貼り付け乙

あげ

掲示板で、ver3の奴らが「コード表示されない！」って騒いでるなw

ランサムウェア総合スレ Part3で、
crypzに感染したと書き込みしたママです。

パソコン内と外付けハードディスクがすべて暗号化され、
子供たちの写真を4年分失ったと嘆いていましたが、
なんと犯人が複号キーを公表したことで、さっそく試したところ、
データが復活していっています！

ほんとによかったです（TT）
これからは多重管理とバックアップ、セキュリティなど気をつけたいと
思います。

同じウィルスにかかった人もよかったら、やってみてください。
http://www.geocities.co.jp/Playtown-Yoyo/6130/notes/virus-ransomware-cryptxxx.htm

>>21
あんたのために情報提供してきたよ。役に立ってよかった。
お互い2度目がないように対策しましょう。

cryptxxx v2　も公開されないかなー。

＞22　
ありがとうございます。
ほんとですね。失敗から学ばねば！

酷いネット犯罪、許してはならないですね。
復号キー公開のとこでも英語でおめでとう！って書いてました。
バカにしてますね。

過去の例から言うとある程度、お金が集まったら、
被害が拡大しないようにキーを公開して、また違うものを作ると
いった感じのようですね。
完全にビジネス化してます。

22さんのも早く公開されますように！！

ランサムウェアに感染するのは脆弱性対策を怠った輩。
自業自得。

(｡ωﾟ)

ＰＣ内蔵型のAIR-EDGE回線だと感染しないんでおすすめです

今一番新しい復号ツールってトレンドマイクロ社の1.0.131611？

>>27
>>24

自業自得と言われりゃしんどいけど。

（TT）ママ さんと同時期にcrypzを喰らいました。
>>11の通りにやってみたんですが、「お金払ってね」としかなりません。
公開が終わってしまったのか、俺のＩＤは元々公開されなかったのか…
「一部公開」の内容について触れてるサイトも全然見つからないし、状況がわかりません。
もうダメなんですかね？

＞29さん
こんにちは。
crypzにやられた時に勝手につくられたhmtlとtxtファイルがありますが、
一番最初の文字が!ではじまりますか？

英語のサイトですが、こちらからいってください。
http://www.bleepingcomputer.com/news/security/cryptxxx-providing-free-keys-for-crypz-and-cryp1-versions/

.Crypz Extension (UltraDecryptor)

Ransom Note Name: ![victim_id].html
Ransom Note Name: ![victim_id].txt

Example TOR Url: http://xqraoaoaph4d545r.onion.to

この一番下のURLから、ログインしました。
復号キーをどこかにコピペしておいて、Toolをダウンロード。
あとは英語ですが、手順にしたがってすすみました。

お役にたてるとよいのですが。。。 👀
Rock54: Caution(BBR-MD5:0a276564888fc24617df99534f6f5523)

>>31
アタマがアットマークの人は、これ使えないの？

おっしゃるとおり「！」で始まります。
入力するのは！の後の12ケタですよね？
どうもダメなようです…
アドバイスありがとうございます。

合ってるのか自分では不安ですが、
ここで12ケタを晒すのはやめておいたほうがいいのでしょうか？

たぶん宮崎市民以外は使えないものと思われ

lockyはいつ復号できますか？

＞33

31の一番下にあるURLで、TXT内に書かれているYour personal IDと
いうものでログインしても、以前と同じ画面のままですか？

私の場合は、そこで
Congratulations on the purchase of UltraDeCrypter
というメッセージが出てきます。

ここには公開しない方がいいかもしれませんね。
捨ててもいいメールアドレスがあれば、やりとりできますが。

＞32

http://www.bleepingcomputer.com/news/security/cryptxxx-providing-free-keys-for-crypz-and-cryp1-versions/

英語のサイトを読む限りでは、
頭に＠のファイルは、まだ
Does Not Provide a Free Key
となっています。。。

>>37
ママありがと！

ウチは、暗号化してる最中にＰＣの電源落としたら、
奇跡的に最近〜３ヶ月前までの家族写真だけが助かった。
オフラインバックアップが２ヶ月前のだったから、ギリでセーフの奇跡ですwww

ただ仕事関連のファイルは再製作しないとダメですが、、、(T_T)

>>36
帰ったら試してみます
俺はここ一年ほどの子供の写真がかかってます
バックアップをたまにとってたので、全部じゃないのが救いですが…
あきらめずに頑張りたいと思います。

>>21
おめでとう！
県立学校とかもそうとうランサムにやられてるみたい。フラッシュ上げない奴が多いんだろうなあ、共用のＰＣは

>>35 可能性は0じゃないだけで必ず復号できる訳じゃないんだぜ？

前スレ636です。
前スレ623の朗報がここではなさそうだったのでそのままコピペします。

アンラボ（代表グォンチジュン）は、ランサムウェアの一種である「CryptXXX（スクリプトのXのX）2.x」のバージョンによって暗号化された文書を回復することができる
回復ツールを「アンラボランサムウェアセキュリティセンター」から無料で提供（http ：//www.ahnlab.com/kr/site/securityinfo/ransomware/index.do）と30日明らかにした。
今回アンラボが提供する回復ツールで復元可能なファイル形式は、hwp、doc、ppt、xls、jpg、gif、bmp、avi、mp4など75個だ。
CryptXXXランサムウェアは、通常のファイルを暗号化した後、「.crypt」拡張子に変更して、ユーザーにビットコインを要求するランサムウェアだ。
そのランサムウェアは、現在までにバージョン1.x、2.x、3.xの3つの形態が知られており、今回発表したアンラボの回復ツールは、2.xバージョンによって暗号化されたファイルのみを復元可能である。
▲回復可能なファイル形式
（拡張子）：CHM、AI、HWP、PDB、PDF、RTF、HTM、HTML、PHP、XML、DWG、PS、WSF、KEY、CSR、CRT、WAV、MP3、OGG、WMA、 WMV、AVIファイル、
ASF、MP4、MOV、MID、MPG、FLV、PNG、GIF、BMP、TIF、JPG、JPEG、ZIP、RAR、BZ2、7Z、GZ、JAR、APK、TGZ、ODS、DOC、DOT、 PPT、POT、PPS、
XLS、XLT、DOCX、DOCM、DOTX、DOTM、PPTX、PPTM、POTM、POTX、PPSM、XLSX、XLSB、XLSM、XLTM、XLTX、EPS、ISO、SQLITE3、MDB、MSI、APP、 FDB、ACCDB、SLN、CLASS、VCXPROJ

5月初旬にV2に感染した輩よ課題だったMP4など動画も完全回復じゃ。喜べ！！

CryptXXXランサムウェアの回復ツール
http://www.ahnlab.com/kr/site/download/product/productVaccineView.do

ダウンロードcryptxxx_decryptor.exe

続き
リンクが開けなかったのでここから↓
CryptXXXランサムウェアの回復ツール
https://www.ahnlab.com/kr/site/download/product/productVaccineList.do
ダウンロードcryptxxx_decryptor.exe

動画ファイルが今まで復元できなかったのですが、これを試したところ復元した。
何があるかわからないのでcryptファイルをコピーしてから試しました。
cryptxxx_decryptor.exe を実行して、スキャン場所を選択したらすべて駆除を押す。
少し時間がかかりますが、復元したものは駆除成功と表示されます。
駆除失敗（自分は拡張子がflvだった）と出たものがあったのですが、拡張子をmp4に変えたら成功しました。
(例：ファイル名.flv.crypt を ファイル名.mp4.cryptにする)
駆除成功するとスキャンしたフォルダに元に戻ったファイルが作成されます。
もちろん動画も見れました。

まだ全部のファイルを試していないので全てうまくいくのかわかりませんが、復元できたことをここに報告します。

Cerber 一部復号可能に
http://esupport.trendmicro.com/solution/en-us/1114221.aspx
ただし、
・Cerber(ランダム10文字.cerber)対象、Xoristの.cerberバージョン(オリジナルファイル名.cerber)は対象外
・要熟読
http://www.bleepingcomputer.com/forums/t/606583/cerber-ransomware-support-and-help-topic-decrypt-my-files-htmltxtvbs/page-61#entry4045450
と
上記trendmicroサイトのCERBER Decryption Limitations

ついで

CryptXXX Ransomware is now scrambling the filenames of Encrypted Files
http://www.bleepingcomputer.com/news/security/cryptxxx-ransomware-is-now-scrambling-the-filenames-of-encrypted-files/
今さらだけど、最新のCryptXXXはファイル名が(16進数32桁).(16進数5桁)になる

>>44 (追記)
http://www.bleepingcomputer.com/forums/t/606583/cerber-ransomware-support-and-help-topic-decrypt-my-files-htmltxtvbs/page-61#entry4045578
TMtool作者登場、
・2コアなら復号の成功率(ファイル数)は70%以上
・office documents (特にdocx,pptx,xlsx)に対してはrepair module入れてる
向こうでやり取り続きそうなのでとりあえずここまで(特記すべきことがあれば後々追記するかも)

特にコア数の多いCPUのPCだと成功率は低いようので期待しすぎないように

カスペルスキーがいつも迷惑メールの添付ファイルを
Cryptoloader
と検出するんですけどこれってランサムですかね？

>>46
情報あり
適当な画像ファイル指定して1時間ほど放置して試してみたけど自分のは駄目っぽい
でも解析が進んでるのが分かって良かった。のんびり待っておこう

>>31の下側のURLのところで
！から始まるタイプなcrypzな俺は
お試し解除1ファイルだけできたけど
解除ツールほしかったら金払え的な部分は変わらんのね
しかもビットコインてのは為替みたいに価格変動すんのか
今は65000円くらいなのかな・・・全然安くねえ

まあ解除が可能なことはわかったんで俺ものんびり待つかな

Side-by-side comparisons of the CrypMIC and CryptXXX Ransomware Infections
http://www.bleepingcomputer.com/news/security/side-by-side-comparisons-of-the-crypmic-and-cryptxxx-ransomware-infections/

色々巡ってここにたどり着いたんだが教えてくれ
メインは復旧できたが外付けがやられた
んで英数字で拡張子がバラっバラなのは諦めたほうがええのかね？
99FD8,96A86,6400E とか法則性すらわからん
お気に入りの動画やら画像やらやられたから諦めがつかんぜ…
その上READMEまで各所に置いていきやがるから腹立つなｗｗｗｗ

>>51
あきらめろ
運が悪かったな
今後はお気に入りの自動ポ○ノはちゃんとバックアップしとけよｗ
大分さんｗ

>>52
無理なんか...
しゃーない諦めるとするか
容量ががっつり開くわww

The No More Ransom Project
https://www.nomoreransom.org/index.html
http://japan.zdnet.com/article/35086415/

・ユーロポール、オランダ警察+カスペルスキ、インテル(マカフィ)
他のセキュリティ関連会社が参加する(/しやすい)雰囲気は感じられないけど、
一応紹介だけ

一応少しづつ複合化できる範囲は広がってきてるんだな
果報は寝て待てってことか

free youtube downloadで感染？
ファイルの中身が拡張子　CCA4Aにされた


情報たのむ

>>56
今の所その拡張子の複合化は出回ってないっぽい
新種じゃねーか...?

俺の方はランダム英数字5個拡張子だがまだ対応されてないっぽい

>>56
というかシステム復旧は試したか？
俺はセーフティからシステム復旧で本体は戻せたよ

蓮レスすまぬ

>>55
>>57
複合化、複合化ってお前はアホな子か

>>59
無知ですまぬ
何か情報あるなら教えてくれ

マルウェアバイトのちょいちょい挙動がおかしかったが、今日はシステムフリーズに至った
除外設定してるファイラ使ってフォルダ削除したらアラート
仕方ないからエクスプローラからファイル操作してたら固まった
dosコマンドは通用したので作業してシャットダウン
しています画面でフリーズ
ファイラに対して誤作動した時は、別のファイラ使ったほうがいいわ
エクスプローラは最後の手段

ランサムウェア「Mischa」の組織、ライバルの暗号解除鍵をネットで暴露
http://www.itmedia.co.jp/enterprise/articles/1607/29/news063.html

>>60
暗号化←→復号化

>>63
間違い

暗号化←→復号

すまない質問　　ランサムウェアて実行する本体は
アプリ自体に組み込まれて立ちあげるたびに実行するのか？

ダウンローラーで落とした後問題なかったがいつの間にかランサムされ
ていた　日にちがいくつか同じなので次ぎに立ち上げたとき
前の物を読めないようにしているようだ。
CC4A　だと

ｔｘｔがあり日付がなんと1600年になっていたが
落とした物や同じホルダーに入れておいたものが読めなくなり
諦め削除　　本体のダウンローダーも削除で今のとろ問題なないが
まだ何かある？
いかんせん今年の2月からだったので　レジストは戻していない

>>65 原因特定されにくくするために潜伏する

Cerber Ransomware version 2 Released, Uses .Cerber2 Extension
http://www.bleepingcomputer.com/news/security/cerber-ransomware-version-2-released-uses-cerber2-extension/

>>66
どうも
free youtube download
いろいろ洗い出した削除しました

ランサムウェア本体が　free youtube downloadに含まれたいたのか
分かりませんが　しばらく様子を見て　改善しなければ
昨年の物に戻します。

もしかして英数字のランサムウェアマイクロソフトのやつでいけるようになってるか

更新されたぽいから試してみたらいけそう

>>69
え。
マイクロソフトのって、具体的にどれのヤツ？

>>70
すまんトレンドマイクロだったわ...
ある程度復元出来たからマイクロからの予測変換でミスったすまぬ...

ちょこちょこ更新してて行けるのも増えてるのかね？

ちょっとスレチになるが半年ほど悩まされていた現象について
BD-REのデータ書き込みが高確率でBSODになるようになった
ググったらアンチウイルスがどうたらって書いてあったから
マルウェアバイトのアンチランサムウエアを終了して書き込んでやってら
エラーが出なくなった、たったこれだけだった
BD回りを使うときは件のソフトを終了させること
簡単に再起動できるので、以上。

Check Point releases working Decryptor for the Cerber Ransomware
http://www.bleepingcomputer.com/news/security/check-point-releases-working-decryptor-for-the-cerber-ransomware/
https://www.cerberdecrypt.com/RansomwareDecryptionTool/

>>73
ついにきたか
１時間程で全ファイルサクサク復号できたわ
本当に待ってて良かった！情報サンクス

出遅れたようです
また情報ありましたら よろしくお願いします

Cerber民は救われたか
crypt民も救済してくれ
未だに復号できないファイルがあるんだ

>>75
なんか良く分からんけどネットワーク上のファイル関連でバグが有ったみたいなんで、一旦取り下げたのかと。
http://www.hippo.flnet.org/AtTheSpring/KnowledgeKasperskyDiary.html

復号時に同名ファイルが有る場合に上書きされるのかが気に成る所。

>>73
Cerber Ransomware Developers make changes that defeat Check Point's Decryption Service
http://www.bleepingcomputer.com/news/security/cerber-ransomware-developers-make-changes-that-defeat-check-points-decryption-service/

>>77
上書きされなかったよ
復号されたファイルと同名ファイルがある場合は復号されたファイルが
元のファイル名_(ランダム英数字)
という名前で復号される

ちょいちょい出てるみたいだし果報は寝て待てってことやなぁ

CrypMICにやられたみたい・・・orz

写真趣味だからｊｐｇとNEFファイルやられた。
十数万枚ｗ

これまだ複元できないよね？
教えてエロイ人m(__)m

ちなみにKaspersky ESETはやってみたけどダメだった

俺の親父がなんかファイルが開かないんだけど、って事で見に行ったら
ほとんどのファイルがzeptoになっていて、俺もなんか分からなくて、
その後インターネットで調べてウイルスにやられたて分かった。
でも良く聞くと見知らぬ人からのメールの添付ファイル開いたって言うから、
それが感染源なんだろうな。

>>81
札幌限定で無理
普通DVDとかに退避しないか？