脅威リサーチ

Nibiru ランサムウェア亜種のデクリプタ

TALOS Japan
2020年11月25日

脆弱な暗号化

ランサムウェア Nibiru は、.NET ベースのマルウェアファミリです。ローカルディスクのディレクトリをスキャンして、Rijndael-256 でファイルを暗号化します。暗号化されたファイルには、拡張子 .Nibiru が付けられます。Rijndael-256 はセキュアな暗号化アルゴリズムです。しかし、Nibiru はハードコードされた文字列「Nibiru」を使って、32 バイトのキー値と 16 バイトの IV 値を計算します。デクリプタはこの弱点を利用し、暗号化されたファイルを復号します。

ランサムウェア

Nibiru は、ランサムウェアとしては出来の悪いものです。ディレクトリをスキャンして、Rijndael-256 でファイルを暗号化します。暗号化されたファイルには、拡張子 .Nibiru が付けられます。Nibiru は、多くの一般的なファイル拡張子をターゲットにします。ただし、「Program Files」、「Windows」、「System Volume Information」などの重要なディレクトリは対象外です。

ターゲットとなる拡張子：

.doc、.docx、.xls、.xlsx、.ppt、.pptx、.jpg、.jpeg、.png、.psd、.txt、.zip、.rar、.html、.php、.asp、.aspx、.mp4、
.avi、.3gp、.wmv、.MOV、.mp3、.wav、.flac、.wma、.mov、.raw、.apk、.encrypt、.crypted、.ahok、.cs、.vb