話題のMBR破壊型ワームランサムウェアの内部構造を紐解く | 技術者ブログ | 三井物産セキュアディレクション株式会社

現在、ウクライナを中心に「GoldenEye」「Petya」「PEtrwrap」と呼ばれている新たなMBR破壊型かつワーム型ランサムウェアの脅威が拡大しています。 この記事では弊社マルウェア解析チームが現時点までに調査した調査内容を掲載します。 はじめに脅威の全体像を簡潔に記載した上で、後半ではより細かい分析結果を中心に解説していきます。 ■今回の攻撃のおおまかな仕組みとマルウェアの挙動について 感染の方法については、サードパーティ製のアプリケーション「MeDoc」経由や、メールに添付されたファイル経由で感染する等、色々な情報が流れていますが、今のところ弊社では確証のある情報は確認できていません。 今回の攻撃の中核となるマルウェア本体のファイル形式はDLLとなります。 マルウェア本体となるDLLファイル（DLLマルウェア①とする）は名前のないエクスポート関数が用意されており、外部からエクス

[TsuSUZUKI]

"名前のないエクスポート関数" "有効でないMicrosoftのデジタル署名"

[s_nagano]

“今回のMBR破壊型ワームランサムウェアにおけるキルスイッチはローカルにあるファイルの存在有無となります。”