拡張子osiris/zzzzz/aesir変更 Lockyウイルス迷惑メール＆添付ファイル感染に注意 : 無題なログ

拡張子osiris/zzzzz/aesir変更 Lockyウイルス迷惑メール＆添付ファイル感染に注意

Windowsパソコンを攻撃ターゲットにファイルを暗号化して、復元するための身代金ビットコインを要求するランサムウェア Locky ウイルスの続報です。

2016年11月21日より破壊ファイルの目印として、新たな拡張子「～.aesir」へ変更されました。

32ケタ英数字＋拡張子.aesirファイル、アイコン画像は白紙に

Aesir 〔北欧神話〕アシール，アサ神族：Odin に率いられ Asgard に住んだ主神たち
dictionary.goo.ne.jp/ej/1221/meaning/m0u/aesir/

ランサムウェア感染経路の1つは 英語表記の迷惑メール（スパムメール） で、たとえば米アマゾンの商品発送、invoice（請求書）、コピー複合機のデータ受信、税金の督促通知、といった広告的な要素を排除した内容を装ってます。

＜スパムフィルタのスリ抜けが起こる

Locky感染！添付ファイル付き迷惑メールの実例

【迷惑メールの件名例】
Your Amazon.com order has dispatched (#[数字]-[数字]-[数字])
Invoice for [数字] 21/11/2016
Please find attached invoice no: [数字]
Message from KMBT_C220
Spam mailout
Receipt
Invoice [英数字]
Delivery status
Abax UK Invoice [数字]
Documents Requested
Re:Documents Requested
FW:Documents Requested
Message from "RNP[英数字]"
Please note
Scan from office
https://blogs.yahoo.co.jp/fireflyframer/34385904.html

添付ファイルの中身はスクリプトファイル

メールには ZIP形式の圧縮アーカイブが付いていて、この添付ファイルを手動で展開・解凍すると、中から不正なスクリプトファイルが登場します。

JScript Scriptファイル／JavaScriptファイル（拡張子 .js / .jse）
Windows Scriptファイル（拡張子 .wsf）
VBScript Scriptファイル（拡張子 .vbs）

ダブルクリック厳禁！危険なスクリプトファイル

この.jsファイル、.wsfファイル、.vbsファイルをWindowsパソコン上でポチポチっとダブルクリックして開いてしまうと一貫の終わりです。

外部ネットワークから Locky 本体ファイルが強制的にダウンロードされてきてシレッと起動し感染となります。

【Locky .aesirのウイルススキャン例】
www.virustotal.com/ja/file/9ce9ba52643c7f37b9f54c31f5e319db7c799a168744f3b5be7f4638e2ef52c4/analysis/1479736903/

[11月26日追記...]

ランサムウェア Locky ウイルスによる暗号化でファイルを破壊した目印の拡張子は2016年11月24日より「～.zzzzz」（zが5つ）の変更へもう切り替わりました。

ウイルス感染でファイル名＆拡張子が変更された状況

[11月31日追記...]

2016年11月29日から英語の迷惑メールの添付ファイルとして不正なOfficeファイルも投入されてます。

【迷惑メールの件名例】
Please find attached a XLS Invoice [数字]
File COPY.29112016.[数字].XLS Sent 29/11/2016
Message from RNP[英数字]
Attached Image
Message from KMBT_C220

いわゆるマクロウイルスと呼ばれる脅威です。