「ファイルを取り戻したければ金を出せ」

ファイルの「身代金」を要求するランサムウェアに感染したら

ユーザーのデータを暗号化して身代金を払えと脅すランサムウェア。金を払う以外の効果的な対処法を幾つか紹介する。

公開 2008年11月19日 07時30分

更新 2012年09月04日 18時31分

著者

Mike Chapple

[TechTarget]

印刷する

　金曜の午後6時。あなたがいそいそと帰り支度をしていると、電話が鳴る。会社のCEOからだ。出張から戻って取締役会に出席してきたところだが、その場で取っておいたメモにアクセスできないというのだ。

　ノートPCの画面に変なメッセージが表示されているから見に来てほしいとCEOは言う。あなたは問題が簡単に解決することを祈り、ディナーと映画を完全にはあきらめていない。だが、その希望的な思いは、すっかり憂うつな気分に変わってしまう。画面上には次の言葉が表示されていたのだ。

　「あなたのファイルはRSA-1024アルゴリズムで暗号化されている。復元するには、われわれの復号ツールを購入する必要がある。購入注文は下記まで」

　あなたの会社は「ランサムウェア（ransomware）」のえじきになったようだ。ランサムウェアは、最近注目されているトロイの木馬型マルウェア。「クリプトウイルス」とも呼ばれ、一般的なマルウェア感染経路でコンピュータに感染し、卑劣な不意打ちを食わせる。具体的には、ウイルス作者だけが知る暗号鍵を使って、システム上のユーザーファイルの多くまたはすべてを暗号化する。さらに、被害者に対し、上記のようにファイルを取り戻すための復号鍵と引き換えに、マルウェア作者への“身代金”の支払いを一方的に要求するメッセージを表示する。

　ランサムウェアは決して新しいものではない。実際、12年前の1996年にコロンビア大学とIBMのセキュリティ専門家が書いた論文「Cryptovirology: Extortion-Based Security Threats and Countermeasures」（クリプトウイルス学：脅迫型のセキュリティ脅威とその対策）では、ランサムウェアの概念が明確にまとめられている。

　しかし、2008年半ばに登場したランサムウェアは威力を増している。それまで、ほとんどのランサムウェアは、弱い、あるいは欠陥のある暗号アルゴリズムを使っていたため、ウイルス対策研究者が最終的にその解読に成功していた。さらに、ランサムウェアはかなり珍しかった。ほんの1年前にセキュリティ専門家のエド・スコウディス氏は、SearchSecurity.comのQ&Aコーナーで、「こうしたランサムウェア攻撃が発生しているのは確かだが、今のところあまり見掛けない」と述べていた。だが2008年半ばに、解読できない初のランサムウェアとみられるものが出回っていることが明らかになり、状況は変わったことが分かった。この最新のランサムウェアは「Gpcode」と呼ばれており、強力な1024ビットRSA暗号を使っているもようだ。本稿執筆時点で、研究者はその暗号アルゴリズムについては、リバースエンジニアリングのヒントとなる欠陥をまだ発見していない。

　では、CEOから冒頭のような恐ろしい電話がかかってきたらどうすべきか。効果的な対処法を幾つか紹介しよう。

バックアップから復元

　問題を解決する一番簡単な方法は、最新のバックアップからシステムを復元することだ。ただし、そのためには前提として、バックアップが存在し、それが貴重なデータを含む十分に新しいものでなければならない。さらに、この解決方法では、そもそもランサムウェアの感染を許してしまった大本の原因が残る恐れがあることに注意する必要がある。このため、復元したシステムは、ユーザーに使わせる前に、パッチを適用し、ファイアウォールを厳しく設定し、最新のウイルス対策ソフトウェアをインストールしておかなければならない。

フォレンジックツールで復元

　バックアップから復元する方法を選択しない場合、ランサムウェアへの感染に対してフォレンジック調査のような方法で対処する。この方法ではフォレンジックツールを使って、まず感染したHDDをビット単位で複製する。さらに、ディスクの元の状態を可能な限り復元することを試みる。

　以下の3つの対処法では問題を解決できるかもしれないが、ある程度のリスクがある。このため、感染したHDDのバックアップコピーにのみ適用するようにしなければならない。

インターネットをチェック

　これまで多くの場合、ランサムウェアでは強力な暗号が使われておらず、復号鍵がインターネットで公開されてきた。身代金を要求するメッセージのテキストで検索すれば、すんなりうまくいくかもしれない。例えば、「Trojan.Archiveus」というランサムウェアは、復号鍵と引き換えにWebサイトで買い物をするよう被害者に要求する。しかし、Symantecは、Trojan.Archiveusの詳細な解説を含む技術リポートを、復号パスワードとともに提供している。それを見つければ一件落着だ。

ファイル復元ソフトウェアを試す

　ランサムウェアは通常、標的のファイルを開いて暗号化し、その暗号化バージョンを保存して、元のファイルを削除する。ファイル復元ソフトウェアを使えば、削除された元のファイルをディスクから復元できるかもしれない。Viruslist.comはWebページで、「PhotoRec」（無料でダウンロードできるオープンソースのデータ復元ソフトウェア）を使ってこの復元を行う手順を1つひとつ分かりやすく解説している。

敵に屈して金を払う？

　ランサムウェアの脅しに屈すれば、敵の思うつぼだ。同様の不法行為を助長することになり、社会全体にとってマイナスになる。安易に金で解決しようとするのは禁物だ。

　あなたの会社でのランサムウェア被害の有無にかかわらず、これまでの発生時の苦い教訓を生かして、社内の全システム（特に、CEOのノートPC）に最新のウイルス対策ソフトウェアをインストールしておかなければならない。また、必ず定期的にバックアップを行い、ファイアウォール設定をチェックする必要がある。ランサムウェアのように急速に進化する脅威に関しては、「転ばぬ先のつえ」が肝心だ。

本稿筆者のマイク・チャップル氏は、ノートルダム大学のITセキュリティプロフェッショナル職を務めており、CISA（公認情報システム監査人）、CISSP（公認情報システムセキュリティプロフェッショナル）の資格を持つ。米国国家安全保障局と米国空軍に情報セキュリティ研究員として勤務した経験がある。「CISSP: Cissp Certified Information Systems Security Professional」や「Information Security Illuminated」（共著）など、情報セキュリティに関する数冊の著書がある。

印刷する