faustランサムウェアの解析概要について説明します。
身代金要求ファイルは、「info.hta」と「info.txt」です。暗号化が終わるとinfo.htaにより次の画像が表示されます。
クリックすると拡大表示
クリックすると拡大表示
faustランサムウェアの実行ファイルは「Fast.exe」です。このプログラムをNSAのGhidraを使って概要を解析します。サマリーは次の通りです。
クリックすると拡大表示
Phobosランサムウェアは本体プログラム名「Fast.exe」を何回も使い続けています。
サマリーのCompilerを見ると「Visualstudio : unkown」と表示されています。Visualstudio 2008,2010以降を使っています。その解析画面内のLibary内にはVisual Studio 2010が表示されています。
クリックすると拡大表示
データファイルは、例えば「test.jpg」だと
test.jpg.id[********-****].[*******@rambler.ua].faust
のようにファイル名を変更して暗号化してしまいます。
また、Phobosランサムウェアは２次攻撃をしてくるランサムウェアとしても有名です。
このランサムウェアは単体のウイルスではありません。
完全な駆除及び社内の暗号化されなかったＰＣ、サーバー、ネットワークをクリーンにする再発防止コンサルティングをご利用ください。
当社では２通りの解決方法を持っています。
犯罪者と交渉をしないでデータを取り戻す手法も開発しています。感染後すぐに依頼されれば、高い取得率があります。時間の経過とともに取得率は下がります。
取得率が100%近い復号サービスもあります。
データを戻した後の再発防止コンサルティング、感染経路調査コンサルティング、業務再運用コンサルティングをしています。
無料相談(10分程度)もしていますので、すぐに行う措置を説明しています。
被害に遭われた方々のお力になれると思います。
上記の画像が表示されたらすぐにシャットダウンして依頼されれば身代金を払わずに解決する方法があります。
暗号化されてしまう被害に遭うと何か月か置いてから２次感染、３次感染と被害が続きます。適切な再発防止措置が必要です。
どのようなケースであってもデータを戻す復号サービスをしています。お困りの方はご連絡下さい。
※当社の記事は実際にランサムウェアに対応した作業や事実に基づく内容です。当記事は転載禁止です。
※当社プログの記事を勝手に引用しているCyberSecurity.com、CyberSecurity-jp.comという業者がいます。その寄せ集めの情報には、かなり誤った情報が書かれています。
