MadCatランサムウェア分析(WhiteDefender)

1. 概要

MadCatランサムウェアは、Windows環境を対象として動作するC＃.NETベースのファイル暗号化型ランサムウェアです。感染時にユーザーデータを暗号化した後、ファイル名の後にランダムな4桁の拡張子を追加し、HACKED.TXTランサムノートを作成して被害者に復号化費用の支払いを要求します。

ランサムウェア情報のまとめ

サンプル識別子

図1. MadCat感染後の暗号化ファイル

2. ランサムウェア動作の特徴

MadCatランサムウェアはC＃.NETベースのChaosファミリーランサムウェアで、実行時にシャドウコピー（Volume Shadow Copy）とバックアップカタログ（Windows Server Backup Catalog）を削除し、Windowsシステムの復元機能とアプリケーションエラー通知機能を無効にして、ユーザーデータの回復を困難にします。

また、Windowsレジストリのポリシー設定を変更してタスクマネージャ（Task Manager）の実行をブロックすることで、ユーザーのプロセスの終了や対応を妨げます。 Chaosファミリーランサムウェアの一般的な動作と同様に、自分の実行可能ファイルを％AppData％\ Roamingパスにコピーしてその場所から再実行し、スタートアップフォルダに実行ショートカットを作成して、システムの再起動後も自動的に実行できるように永続性を確保します。

図2. Roamingフォルダにコピーされたランサムウェア

図3.シャドウコピーの削除とWindowsの回復と実行エラー通知の無効化に追加のタスクマネージャの無効化

図4.タスクマネージャの実行時にエラーとレジストリのWindowsポリシー設定に追加されたレジストリ値

図5.スタートアッププログラムフォルダに追加されたランサムウェアのショートカット（URL）

図6.一時フォルダに作成されたデスクトップイメージ

3. ランサムウェア感染の結果

ランサムウェア感染が進行すると暗号化が進み、ランサムノートが生成され、暗号化が進行された各ファイルは拡張子が変更されて使用できなくなります。

• 主な文書、画像ファイルデータがファイル名、拡張子、個別4桁の拡張子で暗号化され、使用不可状態遷移
• HACKED.TXTランサムノートの生成
• ユーザーデータ暗号化によるアクセス不可状態

図 7. ランサムウェア感染後に変更されたデスクトップ

図 8. ランサムノート画面

図 9. ランサムウェア感染の結果

4. WhiteDefender対応

WhiteDefenderは、ランサムウェアの悪意のある行為をブロックする前に暗号化が行われるファイルに対してもリアルタイムで自動復元をサポートします。

図 10. WhiteDefender ブロック通知ポップアップ: Process has been blocked due to malicious activity (MadCat.exe)_1

図 11. WhiteDefender ブロック通知ポップアップ: Process has been blocked due to malicious activity (MadCat.exe)_2

図 12. WhiteDefender Detect Viewer 検出ログ: Ransomware Behavior‑Detect 検出と Execution Block / Quarantine / Restore 履歴