ランサムウェアに関する Q&A

本レポートは、アンラボコリアより発表された内容を翻訳したものです。

----------------------------------------------------------------------------------------------

1. ランサムウェアはマルウェアと異なる？ 

ランサムウェア (Ransomware) は、"身代金" を意味する 「ransom」 と "ハードウェア/ソフトウェア" を意味する 「ware」 を組み合わせた造語であり、「ファイルを人質に身代金を要求する悪意のあるソフトウェア」 である。

PC に保存されたファイルを暗号化しユーザーが確認できないようにした後、暗号化解除 (復号化) の対価として金銭 (身代金) を要求するマルウェアを、ランサムウェアと呼ぶ。 

2. どうやって感染する？ 

ランサムウェアは他のマルウェアと同様にさまざまな方法により流布され、ユーザー PC を感染させる。主に、悪性メールに添付されたファイルの実行や、メール本文・メッセンジャー・SNS に含まれた悪性 URL をクリックすることで感染する。その他にも、セキュリティが脆弱な Web サイトおよびコミュニティ掲示物、広告バナー、トレントなどのファイル共有サイトを通じて感染する場合もある。

3. ランサムウェアに感染したらどのような症状が現れる？ 

ランサムウェアに感染するとユーザー PC に保存された各種ファイルが読み取れなくなるか開かなくなる。ファイルの内容、ファイル名、拡張子が変更されたり、または元の拡張子の後ろに特定の拡張子 (例 : .crypted) が追加される場合もある。 

ファイルの暗号化が終了したら、攻撃者は PC 画面に、暗号化されたことおよび暗号化を解除するための身代金・支払い方法などを記載したメッセージを表示する。このメッセージは、主に、暗号化されたフォルダーやデスクトップ画面を通じて表示するか、PC 起動時に毎回表示されるようにスタートアッププログラムに登録される。

この他にも、ランサムウェア作成者の意図によりネットワーク接続を通じて攻撃者のコマンドを受信したり、Windows バックアップサービスを強制終了するなどの動作を行う。

大半のランサムウェアは、暗号化終了後、自らを削除して痕跡を消す。

＜ ランサムウェア感染画面 ＞

4. ランサムウェアに感染した後の対策は？やってはいけないことは何？

ランサムウェア感染の疑いがある場合、ランサムウェアにより PC に接続された外部記憶装置・共有フォルダーのファイルも暗号化される恐れがあるため、直ちに接続を遮断しなければならない。 

また、慌てて PC の電源を落とさないように注意する必要がある。

最近発見されたランサムウェア Jigsaw は、感染メッセージが表示された状態で PC を終了すると、数十～数千個のファイルを削除する。したがって、感染メッセージを発見したら落ち着いて内容を確認し、感染したランサムウェアの種類を把握した後、信頼できるセキュリティメーカーが提供する復旧ツールがないか調べるのが望ましい。 

＜ 映画ソウ (Saw) のキャラクターを模倣したランサムウェア Jigsaw の感染画面 ＞

5. ランサムウェアに感染すると、すべてのファイルが使用できなくなる？

ランサムウェアの種類によって、暗号化するファイルの種類や範囲はさまざまである。

PC に保存されているすべてのファイルを暗号化するランサムウェアもあれば、開発ソースや文書ファイルのみを暗号化するランサムウェアもある。また、ユーザーが感染した PC を利用して身代金を支払えるように、PC 内の一部ファイルは暗号化から除外される場合もある。この他に、特定国の PC では動作しないように設定されたランサムウェアもある。 

6. ランサムウェア作成者に身代金を支払った場合、ファイルは再び使用できるようになる？ 

身代金を支払っても、必ず攻撃者がファイル復旧に必要なキーを提供するとは言い切れない。攻撃者がキーを提供しなかった場合でも、合法的な取引ではないため、支払った金銭は補償されない。

また、 一度金銭を支払ったユーザーは攻撃者から狙いやすいターゲットとして認識されてしまい、再び違う犯罪に狙われる恐れがある。

7. ランサムウェアに感染すると PC やインターネットを使用できなくなる？ 

PC およびインターネットを使用できなくするために暗号化したり、Windows 画面そのものをロックして他のプログラムの使用を妨害するランサムウェアが過去に存在したが、最近では PC やインターネット使用を妨害するランサムウェアはそんなに多くない。これは、ユーザーが PC やインターネットを使用できない場合、攻撃者に身代金を払えなくなる可能性があるからではないかと思われる。 

8. セキュリティメーカーが提供する 「ランサムウェア復旧ツール」 があれば、暗号化されたファイルの復旧ができる？

アンラボをはじめ、主要セキュリティメーカーは、マルウェアおよび暗号化手法の分析を通じてランサムウェアの暗号化を解除できるキーを見つけ、復旧ツール (プログラム) を作成・提供している。ただし、一つの復旧ツールがすべてのランサムウェアに対応するわけではないため、感染したランサムウェアに対応する復旧ツールを探さなければならない。  

アンチウイルスソフトウェアは、主要ランサムウェアおよび最新のランサムウェアを検知・遮断している。

ランサムウェアのみならず、さまざまなマルウェアによる被害を防止するためには、必ずアンチウイルスソフトウェアをインストールし、エンジンを最新のバージョンに維持しなければならない。 

しかし、何より大事なのは 「未然防止」 である。アンラボは、ランサムウェア被害防止のためのセキュリティルールを以下のように提案している。 

① アンチウイルスソフトウェアをインストールし、エンジンを最新のバージョンに維持する。 

② OS、ブラウザおよび主要アプリに最新のセキュリティアップデートを適用する。 

③ 送信者が不明な E メールに含まれた疑わしいファイルの実行を控える。 

④ セキュリティが脆弱なサイトへの接続を控える。 

⑤ 重要なファイルは定期的にバックアップし、PC 以外の外部記憶装置を利用して2次バックアップしておく。 

⑥ 重要な文書ファイルは 「読み取り専用」 に設定する。