MyDoomランサムウェアに関する技術分析レポート

調査日: 2022-10-17

分析日: 2022年10月17日

本レポートは、MyDoomと呼称されるランサムウェアによる侵害事案の発生を受け、その技術的な動作および被害状況について分析し、注意喚起を行うものです。

MyDoomランサムウェアは、感染したシステム上のファイルを暗号化し、特定の形式の拡張子（例：.既存拡張子.id-生成された個人キー.[bitlocker@foxmail.com].wiki）に変更する挙動が確認されています。

当該ランサムウェアの実行ファイルに関する詳細な分析結果を以下に示します。

実行ファイルのバージョン情報および属性は以下の通りです。

MyDoomランサムウェアがシステムに侵入した後、暗号化を実行し、持続性を確保するために実行する主要なプロセスは以下の通りです。

暗号化されたファイルの復元を困難にするため、Windowsのボリュームシャドウコピーサービス（VSS）によって作成された復元ポイントを削除します。

<シャドウコピーの削除>

システムが再起動された後もランサムウェアが自動的に実行されるよう、レジストリまたはスタートアップフォルダに自身を登録し、持続性（Persistence）を確保します。

<スタートアップへの登録>

暗号化が完了すると、元のファイルは以下の形式で拡張子が変更されます。

身代金要求の案内ファイルは、システムフォルダ内にmshta.exeとして生成および実行されます。また、デスクトップ上には「FILES ENCRYPTED」という名前のファイルが追加されます。

<感染結果1 (暗号化されたファイル)>

<感染結果2 (ランサムノート表示)>

MyDoomランサムウェアを含むマルウェアの脅威からシステムを保護するため、以下の対策を強く推奨いたします。

EDR/アンチランサムウェア製品の導入: 悪意のある挙動（シャドウコピーの削除、大量のファイル暗号化など）をリアルタイムで検知し、実行を阻止できるエンドポイントセキュリティソリューションを導入してください。
自動復元機能の活用: 暗号化が進行する前に、ファイルを自動的に復元する機能を持つソリューションの導入を検討してください。

ランサムウェアの悪性な挙動を検知・遮断した際のメッセージ例を以下に示します。

<遮断メッセージ例1>

<遮断メッセージ例2>