新しいマルウェアが作られる舞台裏：Chaos の系図をたどる Yashma ランサムウェアの詳細を分析

リサーチとインテリジェンス / 06.24.22 / The BlackBerry Research and Intelligence Team

原文のブログはこちらからご覧いただけます。

新しいマルウェアが作られる舞台裏を見る機会はそうそうありませんが、実際に出会ったときには、脅威アクターの仕事を垣間見るという興味深い体験をすることになります。実際に、ランサムウェアの犯人と被害者とのオンライン上でのやり取りを垣間見る機会があり、Chaos マルウェアの出自に関する新たな知見が得られたことで、Onyx と Yashma というランサムウェアの亜種の両方につながるねじれた系譜が明らかになりました。

CylancePROTECT^®︎が Yashmaランサムウェアをブロックする様子は、次の動画をご確認ください。

デモ動画：CylancePROTECT^®︎が Yashmaランサムウェアをブロック

ヒントは、脅威アクターのリークサイトで行われた、最近の被害者と、Onyx ランサムウェアの背後にいる脅威グループとの間の会話の中から見えてきました。この会話に Chaos ランサムウェアビルダーキットの作者だと主張する人物が加わり、Onyx はその作者自身の Chaos v4.0 Ransomware Builder から作成されたものだと明かしたのです。さらに作者は Chaos ランサムウェアの最新版を宣伝しています。現在「Yashma」と改名されているものです。

Chaos の作者が明確な意図を持って Onyx が模倣だと「暴露」したことは、Chaos の出自を考えると、とりわけ皮肉なことです。この脅威が初めて現れたときには、Ryuk の .NET 版だと称し、その GUI に Ryuk のブランドを標示して、Ryuk ランサムウェアから利益を奪おうとしたのです。しかし、この下手な手口に対する反応は大変否定的で、脅威の作成者は Ryuk の振りをやめ、すぐに新しい作品のブランドを「Chaos」に変えることになりました。

図 1 ：Onxy ランサムウェアのリークサイトでのチャットのスクリーンキャプチャ。Chaos マルウェアの作者だと主張する人物のコメントがある。

オペレーティングシステム

リスクと影響

技術的解析

Chaos ランサムウェアビルダーが出回り始めてから 1 年しか経過していませんが、Yashma は、このマルウェアの第 6 版（v6.0）だと主張しています。BlackBerry の Research & Intelligence チームは、最初の「Ryuk .NET Builder」（Chaos v1.0）から最新の「Yashma Ransomware Builder」（Chaos v6.0）までの、それぞれの改版を通した横方向の進化を確認しています。

図 2 は、過去 12 か月間におけるこのマルウェアビルダーの開発状況を時系列で表したもので、特徴やこの短期間での進展がわかります。

図 2 ：Chaos/ Yashma マルウェアの時系列推移

Chaos v1.0

Chaos ランサムウェアの最初のバージョンは「Ryuk .Net Ransomware Builder v1.0」という名前でした。この脅威は、早ければ 2021 年 6 月にはダークウェブのフォーラムで宣伝されており、悪名高いランサムウェアファミリー Ryuk の .NET でコンパイルされたビルダーだと称していました（図 3）。

このファイルは基本的な .NET コンソールであり、これを使って後に Chaos ランサムウェア として知られるようになるサンプルを生成することができます。また、カスタマイズされた脅迫状を作成する機能もあります。

図 3 ：Ryuk .NET （Chaos） Ransomware Builder v1.0 のパネル

このビルダーの宣伝を Ryuk と称してダークウェブで行ったことで、サイバーセキュリティとリバースエンジニアリングのコミュニティによる解析と調査の活動が刺激されました。しかし、本物の Ryuk ランサムウェアや、この悪名高い脅威を作成した Wizard Spider グループとの具体的な関連は発見できませんでした。Ryuk の後継者だと主張することで、このランサムウェアの悪名に便乗しようとしたのでしょう。

Ryuk の威を借る試みにより注目を集めましたが、反応は否定的なものでした。ダークウェブの多くのフォーラムのユーザーたちは、この紛らわしい名前を付けたことで作者を非難しました。この悪評が効いたのか、数週間で Chaos というブランドに変更され、すぐに Chaos V2.0 と Chaos V3.0 がリリースされました。

この初期の「ランサムウェアビルダー」が生成したマルウェアはかなり初歩的なもので、一般的なランサムウェアに期待される機能を備えていませんでした。その結果、意図せず破壊ツールやワイパーのような動作をしていました。

このビルダーで生成されたマルウェアの機能は、以下のようにシンプルなものでした。

影響を受けるファイルの拡張子をランダム化する（デフォルト： [a-z A-Z 0-9]{4}）。
自身を %AppData% の指定されたプロセス名にコピーする（デフォルト： svchost.exe）。
被害者のスタートアップフォルダに .LNK ファイルを作成する。
次の場所に RegKey を追加する。
- SOFTWARE\\Microsoft\\Windows\\CurrentVersion\Run
- キー：Microsoft Store
- 値：%Current Path/Location%
接続されている USB ドライブを介して自身の拡散を試みる。
スリープ機能や遅延機能を実行する。

このマルウェアは被害者の C:\ ドライブだけを標的にして、次のフォルダを探します。

デスクトップ	リンク	保存したゲーム
アドレス帳	ドキュメント	お気に入り
ダウンロード	ピクチャ	検索
ミュージック	One Drive	ビデオ

初歩的なものではありませんが、暗号化対象のファイル拡張子が 100 以上ありました。.DLL、.EXE、.LNK、.INI など、暗号化の対象としない拡張子のリストも持っていました。これは、必要なシステムファイルを暗号化してしまい、被害者のデバイスをクラッシュさせることを避けるためと思われます。

Chaos の最初のエディションでは、標的のファイルを暗号化するのではなく、ランダム化された Base64 文字列で上書きしていました。この処理ではファイルの元の内容が失われ（図 4）、復旧が不可能であることから、Chaos はランサムウェアではなくワイパーになっています。

これとは違い、本物の Ryuk は AES/RSA-256 の暗号を使用しています。

図 4 ：Chaos v1.0 / Ryuk .NET Builder の暗号化ルーチン

Chaos の影響を受けたフォルダには、「read_it.txt」という脅迫状が置かれます。ここは、すべてのバージョンで詳細なカスタマイズが可能であり、脅迫文として任意のテキストを含めることができます。デフォルトの脅迫文は、Chaos Ransomware Builder のすべてのバージョンで比較的変わらず、作者と思われる人物の Bitcoin ウォレットへの参照が含まれています。

Chaos v2.0 から v3.0

Chaos マルウェアのブランド変更が行われた後、2 番目のバージョンは最初のバージョンよりも洗練されたものになり、より先進的な脅威に期待される高度なオプションを備えていました（図 5）。また、実際の機能はファイルワイパーのままでありながら、ランサムウェアだと（偽って）称していました。

図 5 ：Chaos v2.0 と Chaos v3.0 のビルダー

2 番目のバージョンには機能が追加され、以下を実行する高度なランサムウェアのサンプルを生成するようになりました。

シャドウコピーの削除
バックアップカタログの削除
Windows リカバリモードの無効化

図 6 ：Chaos v2.0 のファイル復旧妨害

Chaos v2.0 ではこうしたファイル復旧を妨害する機能が追加されましたが、ベースは依然として Chaos v1.0/Ryuk .NET Builder でした。そのためコアの暗号化機能には変わらず、図 4 の同じ暗号化ルーチンが使われていました。

つまり、実際には本物のランサムウェアではなく破壊ツールのままであり、身代金を支払ってもファイルの復旧が行われることはありません。皮肉なことに、このことを Chaos v2.0 の作者はビルダーの [About] セクションで言及すらしています（図 7）。実際、作者は機能の不足に言及しており、その結果として高速になっていることを売りにしています（ファイルの破壊が暗号化より 2 倍高速なのは当然でしょう）。

図 7 ：Chaos Builder v2.0 の [About] セクション

1 か月もたたずに Chaos v3.0 がリリースされ、ようやくファイル暗号化の機能が追加されました。これは、影響を受けたファイルを復旧する復号ツールの開発ができたことを意味します。

Chaos v3.0 ビルダーは従来のランサムウェアと同様の動作をするようになりましたが、それでも暗号化できるファイルのサイズは 1 MB 未満です。写真や動画のような大きなファイルに対しては、以前のように破壊ツールとして動作していました。

新しいバージョンの Chaos で暗号化されたファイルの先頭には「暗号化キー」が追加されます（図 8）。このキーはランサムウェアの作成時に生成されます。

図 8 ：Chaos v3 によって暗号化されたファイル

マルウェアの復号ツールは、このキーを使って被害を受けたファイルを復旧します（図 9）。ただし、1 MB を超えるファイルは以前のバージョンと同じように上書きされるので、復旧不能な状態で残されます。

図 9 ：動作中の Chaos 3.0 の復号ツール

1 MB 未満のファイルは関数 EncryptFile に渡され（図 10）、AES-256 で暗号化されます。

図 10 ：Chaos v3.0 の暗号化ルーチン

Chaos 4.0 / Onyx

作者は猛スピードで改良を進め、すぐに Chaos v4.0 をリリースしました。Chaos Builder の前のエディションと同じように、「Chaos Ransomware Builder v4」で作成されたマルウェアは、Chaos 3.0 のサンプルよりも、特に AES/RSA 暗号化ルーチンの使用に関して改良が行われていました（図 10）。

これにより、少し大きな（2.1 MB までの）ファイルの暗号化に対応できるランサムウェアを作成できるようになりましたが、残念なことに、それよりも大きなファイルは依然として上書きされていました。

Chaos 4.0 で追加された機能には次のものがあります（図 11）。

被害者のデスクトップの壁紙を変更する機能
カスタマイズ可能なファイル拡張子リスト
暗号化の互換性の向上

図 11 ：Chaos v4.0 のパネル

Chaos v4.0 は数か月間出回っていましたが、2022 年 4 月に Onyx という脅威グループが武器化したことで悪名が高まりました。

この脅威グループは被害組織のネットワークに侵入し、価値のあるデータを盗んでから、Chaos Builder v4.0 をベースに自らのブランドとした「Onyx ランサムウェア」を放ちます。これを確認するため、Onyx ランサムウェアと称するサンプルのテストを行ったところ、98% が Chaos v4.0 で生成したテストサンプルと一致しました。

Onyx グループは、脅迫状をカスタマイズし、標的とするファイル拡張子のリストを修正しただけで、Chaos v4.0 で作成した他のサンプルと差別化できるような修正はほとんど見られませんでした。

Onyx でカスタマイズされたファイル拡張子リスト
.txt	.jar	.dat	.contact	.settings	.doc	.docx	.xls
.xlsx	.ppt	.pptx	.odt	.mka	.mhtml	.oqy	.png
.csv	.py	.sql	.mdb	.php	.asp	.aspx	.html
.htm	.xml	.psd	.pdf	.xla	.cub	.dae	.indd
.cs	.mp3	.mp4	.dwg	.zip	.rar	.mov	.rtf
.bmp	.mkv	.avi	.apk	.dib	.dic	.dif	.divx
.iso	.7zip	.ace	.arj	.bz2	.cab	.gzip	.lzh
.tar	.jpeg	.xz	.mpeg	.torrent	.mpg	.core	.pdb
.ico	.pas	.db	.wmv	.swf	.cer	.bak	.backup
.accdb	.bay	.p7c	.exif	.vss	.raw	.m4a	.wma
.flv	.sie	.sum	.ibank	.wallet	.css	.js	.rb
.crt	.xlsm	.xlsb	.7z	.cpp	.java	.jpe	.ini
.blob	.wps	.docm	.wav	.3gp	.webm	.m4v	.amv
.m4p	.svg	.ods	.bk	.vdi	.vmdk	.onepkg	.accde
.jsp	.json	.gif	.log	.gz	.config	.vb	.m1v
.sln	.pst	.obj	.xlam	.djvu	.inc	.cvs	.dbf
.tbi	.wpd	.dot	.dotx	.xltx	.pptm	.potx	.potm
.pot	.xlw	.xps	.xsd	.xsf	.xsl	.kmz	.accdr
.stm	.accdt	.ppam	.pps	.ppsm	.1cd	.3ds	.3fr
.3g2	.accda	.accdc	.accdw	.adp	.ai	.ai3	.ai4
.ai5	.ai6	.ai7	.ai8	.arw	.ascx	.asm	.asmx
.avs	.bin	.cfm	.dbx	.dcm	.dcr	.pict	.rgbe
.dwt	.f4v	.exr	.kwm	.max	.mda	.mde	.mdf
.mdw	.mht	.mpv	.msg	.myi	.nef	.odc	.geo
.swift	.odm	.odp	.oft	.orf	.pfx	.p12	.pl
.pls	.safe	.tab	.vbs	.xlk	.xlm	.xlt	.xltm
.svgz	.slk	.tar.gz	.dmg	.ps	.psb	.tif	.rss
.key	.vob	.epsp	.dc3	.iff	.onetoc2	.opt	.p7b
.pam	.r3d	.dsn	.dmp	.qbw	.imr	.nd	.chw
.spi	.ep	.tlg	.qbb	.msi	.eml	.thmx	.obi
.chm	.pub	.md5	.spf	.spk	.idx	.scc	.jdk
.cnt	.tum	.dsm	.reg	.cfg	.ldf	.bat	.dxf
.SLDDRW	.SLDPRT	.SLDASM	.mil	.dlf	.c4	.pdx	.onepkg
.url	.jpg

被害者への指示や案内がほとんどない Chaos のデフォルトの脅迫状と異なり、Onyx の背後にいるグループは、匿名の Tor ネットワーク上にある Onion ページでホストされている「Onyx News」というリークサイトを実装し、これを利用して被害者により詳しいデータの復旧方法を提供していました。

Onyx の脅迫状（図 12）には、被害者がログインしてランサムウェア攻撃の背後にいる脅威アクターとの話し合いを行うためのアドレス、ログイン名、パスワードが記載されており、この話し合いでは通常、復号キーの解放の対価として Bitcoin 暗号通貨の支払いが要求されます。

図 12 ：Onyx の脅迫状

Onyx の背後にいる脅威アクターは被害者のリストを投稿します。リークサイトには、被害者に関する情報とともに、盗んだデータが一般に見える形で掲載されていました（図 13）。

図 13 ：Onyx のリークサイト

予想どおり、Onyx には Chaos v4.0 で生成された他の「ランサムウェア」と同じ欠陥がありました。たとえば、暗号化するのは小さなファイルだけで、大きなファイルは復旧不能な状態になります。

Chaos 5.0 / Yashma

Chaos Ransomware Builder v5.0 は 2022 年初めにリリースされ、これも前のバージョンである Chaos v4.0 をベースに作成されていました。Chaos 5.0 では、2 MB を超えるファイルを回復不能に破壊せず暗号化することができないという、前のバージョンにあった最大の問題を解決しようとしていました。

図 14 ：Chaos v5.0 と Yashma の比較

このバージョンの Chaos は、被害者のファイルを AES-256 で暗号化し、各ファイルの最後にキーを付加して暗号化されていることを示します。このキーは、新たに設計された復号ツールでファイルを復号し、元の暗号化されていない状態に戻すために使用されます。

カスタマイズオプションも Chaos v4.0 から変わっておらず、脅威アクターは次のオプションを使用できます。

カスタムの脅迫状の作成
起動時の実行
別プロセスとしてのマルウェアの投下
実行前の潜伏
デスクトップの壁紙の設定
特定のファイル拡張子の暗号化
復旧システムの妨害
ネットワーク接続を通じたマルウェアの拡散
カスタムの暗号化ファイル拡張子の選択
Windows® タスクマネージャーの無効化

単にファイルを破壊していたときよりも、被害者のデバイス上で悪意のある作業を完了するまでの時間はかかりますが、最終的には期待される動作となり、すべてのサイズのファイルが暗号化され、元の暗号化されていない状態に戻す可能性を残しています。

図 15 ：Chaos 4.0 から Chaos 5.0、さらに Yashma への進化

Chaos Ransomware Builder v5 のリリース後、6 番目のバージョンは再びブランド変更され、今度は Yashma という名前になりました。

執筆時点で Yashma の実例はほとんど出回っていませんが、これは Chaos v5.0 とほぼ同じ動作をします。「Yashma」バージョンが以前のバージョンから改良されているのは、わずか 2 か所です。

被害者のデバイスで設定されている言語から所在地を判断し、それに基づいて実行を阻止する機能が追加されました。脅威アクターが自国での法的トラブルを回避するために使用することの多い方法です。

また、被害者のデバイス上のさまざまなサービスを停止する機能も追加されました。採取した Yashma のサンプルを解析した結果に基づけば、更新されたマルウェアが標的とするサービスは次のとおりです。

アンチウイルス（AV）ソリューション
Vault サービス
バックアップサービス
ストレージサービス
リモートデスクトップサービス

サービス名	製品
BackupExecAgentBrowser	Veritas Open Exchange
BackupExecDiveciMediaService	Veritas
BackupExecJobEngine	Veritas
BackupExecManagementService	Veritas
vss	ボリュームシャドウコピー
Sql	構造化照会言語 (SQL)
svc$
memtas	MailEnable
sophos	Sophos
Veeam	Veeam Software
backup	名前に backup を含む任意のサービスにマッチ
GxVss	Commvault
GxBlr	Commvault
GxFWD	Commvault
GxCVD	Commvault
GxCIMgr	Commvault
DefWatch	ノートンアンチウイルス
ccEvtMgr	ノートンアンチウイルス
SavRoam	Symantec AntiVirus
RTVscan	Symantec Internet Security
QBFCService	QuickBooks
Intuit.QuickBooks.FCS	QuickBooks
YooBackup	Wooxo Yoo Backup
YooIT	Wooxo Yoo Backup
zhudongfangyu	360 Safe Guard
sophos	Sophos
stc_raw_agent	StorageCraft Volume Snapshot
VSNAPVSS	StorageCraft Volume Snapshot
QBCFMonitorService	Intuit Quickbooks
VeeamTransportSvc	Veeam Software
VeeamDeploymentService	Veeam Software
VeeamNFSSvc	Veeam Software
veeam	Veeam Software
PDVFSService	Veritas
BackupExecVSSProvider	Veritas
BackupExecAgentAccelerator	Veritas
BackupExecRPCService	Veritas
AcrSch2Svc	Acronis
AcronisAgent	Acronis
CASAD2DWebSvc	ArcServe
CAARCUpdateSvc	ArcServe
TeamViewer	TeamView

まとめ

Chaos（および後の Yashma）は昨年の 1 年間で急速に開発が進み、進化を遂げ、2022 年半ばには最新版の「Yashma」（Chaos v6.0）が出回るまでになっています。

Chaos は、.NET でコンパイルされたランサムウェアのかなり初歩的な試みとして始まったものの、実際はファイル破壊ツールあるいはワイパーとして機能するものでした。その後、本格的なランサムウェアに進化し、バージョンアップのたびに機能や特徴が増えていきました。

Chaos/Yashma の危険性を押し上げている要因には、その柔軟性と広く入手可能であることが挙げられます。初めはマルウェアビルダーとして販売と配布が行われ、購入すれば Onyx の背後にいる脅威グループの行動を模倣し、独自のランサムウェア株を開発してターゲットを選別できます。

これにより、マルウェアビルダーで作成したサンプルごとに侵入の痕跡（IOC）が変化するため、Chaos がもとになったランサムウェア攻撃を追跡することは極めて困難になります。さらに初心者でも、ダークウェブのフォーラムやサードパーティーのマルウェアリポジトリでリリースやリークへのリンクを見つけ、Chaos/Yashma を利用して悪意のある活動を行うことが可能になります。

被害を受けているのは ?

この 1 年間、Chaos の亜種が出回っており、複数の脅威アクターに使用されているようです。

多くの場合、Onyx （Chaos v4.0 ベース）が使用され、最近の攻撃では、米国に拠点を置く次のサービスや産業が被害を受けています。

緊急サービス
医療
金融
建築
農業

被害軽減のためのヒント

Choas/Yashma の被害者にならないためには、次のことを行う必要があります。

データ破壊、ファイル喪失、ファイル破壊に備えて最新のバックアップをとる。
ランサムウェアに関する事業継続計画を実行に移せるよう準備しておく。
疑わしいリンクやファイルを避け、それを報告する。

YARA ルール

以下の YARA ルールは、この記事で説明した脅威を捕捉するために BlackBerry の Research & Intelligence Team が作成しました。

import "pe"

    rule Mal_Win32_ChaosRansomware_2022
{
    meta:
    description = "Detects Ransomware Built by Chaos Ransomware Builder"
    author = "BlackBerry Threat Research"
    date = "2022-05-10"
    license = "This Yara rule is provided under the Apache License 2.0 (https://www.apache.org/licenses/LICENSE-2.0) and open to any user or organization, as long as you use it under this license and ensure originator credit in any derivative to The BlackBerry Research & Intelligence Team"

    strings:
        //Ransom References
        $x1 = "Encrypt" ascii wide
        $x2 = "(?:[13]{1}[a-km-zA-HJ-NP-Z1-9]{26,33}|bc1[a-z0-9]{39,59})" ascii wide
        $x3 = "read" ascii wide

        //Ransom Hex
        $r1 = { 20 76 69 72 75 73 }
        $r2 = { 72 00 61 00 6e 00 73 00 6f 00 6d 00 77 00 61 00 72 00 65 }

        //Shadow Copy Delete
        $z0 = "deleteShadowCopies" ascii wide
        $z1 = "shadowcopy" ascii wide

condition:

//PE File
uint16(0) == 0x5a4d and

// Must be less than
filesize < 35KB and

// Must have exact import hash
pe.imphash() == "f34d5f2d4577ed6d9ceec516c1f5a744" and

//Number of sections
pe.number_of_sections == 3 and

//These Strings
((all of ($x*)) and (1 of ($r*)) and (1 of ($z*)))

}

____________________________________________________________________________________________

import "pe"

    rule Mal_Win32_Onyx_Strain_Chaos_Ransomware_2022
{
    meta:
    description = "Detects Onyx Ransomware build off of Chaos Builder v4"
    author = "BlackBerry Threat Research"
    date = "2022-05-10"
    license = "This Yara rule is provided under the Apache License 2.0 (https://www.apache.org/licenses/LICENSE-2.0) and open to any user or organization, as long as you use it under this license and ensure originator credit in any derivative to The BlackBerry Research & Intelligence Team"

            strings:
            $s1 = "(?:[13]{1}[a-km-zA-HJ-NP-Z1-9]{26,33}|bc1[a-z0-9]{39,59})" wide
            $s2 = "All of your files are currently encrypted by ONYX strain." wide
            $s3 = "Inform your supervisors and stay calm!" wide

condition:

//PE File
uint16(0) == 0x5a4d and

//Directories
pe.data_directories[pe.IMAGE_DIRECTORY_ENTRY_COM_DESCRIPTOR].size != 0 and

//All strings
all of ($s*)

}

____________________________________________________________________________________________

import "pe"

    rule Mal_Win32_Chaos_Builder_Ransomware_2022
{
    meta:
    description = "Detects Chaos Ransomware Builder"
    author = "BlackBerry Threat Research"
    date = "2022-05-10"
    license = "This Yara rule is provided under the Apache License 2.0 (https://www.apache.org/licenses/LICENSE-2.0) and open to any user or organization, as long as you use it under this license and ensure originator credit in any derivative to The BlackBerry Research & Intelligence Team"

strings:

$s0 = "1qw0ll8p9m8uezhqhyd" ascii wide

$s1 = "Chaos Ransomware Builder" ascii wide

$s2 = "payloadFutureName" ascii wide

$s3 = "read_it.txt" ascii wide

$s4 = "encryptedFileExtension" ascii wide

$x0 = "1098576" ascii wide

$x1 = "2197152" ascii wide

condition:

//PE File

uint16(0) == 0x5a4d and

//All strings

((all of ($s*)) and (1 of ($x*)))

}

セキュリティ侵害インジケータ（IOC）

付加されたファイル拡張子：

.[a-z][A-Z]{4} （デフォルト）

レジストリの追加：

RegKey の追加：
SOFTWARE\\Microsoft\\Windows\\CurrentVersion\Run

キー：Microsoft Store
値：%Current Path/Location%

ミューテックス：

1qw0ll8p9m8uezhqhyd

投下されたファイル：

%AppData%\Roaming\svchost.exe

RYUK .NET Builder

名前	SHA256 の例：
Builder v1	0d8b4a07e91e02335f600332644e8f0e504f75ab19899a58b2c85ecb0887c738
Ransomware v1	f41962f51583d08ed7ca796b125f2300e03035b8790590e8e2d036f53bd9be79

Chaos 2.0+

名前	SHA256 の例：
Builder v2	325dfac6172cd279715ca8deb280eefe3544090f1583a2ddb5d43fc7fe3029ed
Ransomware v2	202e6f0501abaf85b5c53bafcd70e31aa20e65c140f13b15d45e60c00b0413c0

Chaos 3.0+

名前	SHA256 の例：
Builder v3	a98bc2fcbe8b3c7ea9df3712599a958bae0b689ae29f33ee1848af7a038d518a
Ransomware v3	1d71add7ecfe9be642a84d080dfbc4b602a0f49239938a337c7c860eb7edf3fe
Decryptor v3	31c783b0211bf4b72f10b6dac6f933b7aba570ff7a8c608fd8eb46311aec0091

Chaos 4.0+

名前	SHA256 の例：
Builder v4	392a3adb44ab2640290f88f751d7608bc66a1c7df845fa1d0baa0aea78ac7a49 f3432c74402aa36468d6641d5ccc15c1e0ceb083bc0f7e73d2b5dbfa0cfb9974
Ransomware v4	77f3cddd3cb245b2645b4885ebf2080f7c23f7101f4c3ce27239ea0326a8fcc5
Decryptor v4	fac94a8e02f92d63cfdf1299db27e40410da46c9e86d8bb2cd4b1a0d68d5f7a2

Chaos 5.0+

名前	SHA256 の例：
Builder v5	6562f92ba9d4784bf30e87681e538e0f7b8eff26811ace6be8970b0a8e3e3ca0
Ransomware v5	7a7f9b043b83184a537e09b76b811546d3032c776246d28ae0e4f6ca5f9f92b8
Decryptor v5	8f236217c4e280b4950cedccbc6bbd03f31902525a7f9fe98b6de5bb50787cfb