雑記 > ランサムウェア > CryptoLockerウイルス

PR 国内メーカー東芝の直販 − 4万円台からノートPC安い!

CryptoLockerウイルス駆除削除アンインストール方法 ファイル暗号化ランサムウェア

このエントリーをはてなブックマークに追加

ランサムウェア(Ransomware)は、身代金を要求する脅迫ウイルスです。

2013年9月に感染キャンペーンが始まった CryptoLocker (読み方:クリプトロッカー) を名乗る不正なプログラムは、Windowsパソコンに保存されてる特定の拡張子を持つファイルを暗号化して破壊し、復元を盾に身代金の支払いを要求する脅威です。

CryptoLocker は法執行機関、警察機関、セキュリティ会社の取り組みにより2014年5月にサーバーが差し押さえられた結果としてネットワークが陥落しました。米連邦捜査局 FBI は CryptoLocker に関与したサイバー犯罪者を指名手配してます。以降、CryptoLocker と称するウイルスに感染しても名前だけあやかった 別の種類のランサムウェア となります。

〜 ファイルの暗号化作業が完了した直後に表示されるウィンドウ 〜

ファイルの暗号化作業が完了して身代金をせびるCryptoLockerウイルスのウィンドウ画面
『Your personal files are encrypted!』 貴方の個人的なファイルを暗号化しました!

要求する身代金は決済手段として匿名性の高いプリペイドカードGreen Dot MoneyPak 300ドル、または 仮想通貨Bitcoin 2BTC
72時間以内に {Green Dot MoneyPak 300ドル} or {Bitcoin 2BTC} の支払いを要求!

文書ファイル(Office Word/Excel/PowerPoint、PDF、Open Document)や画像ファイル(JPEG、Photoshop、亜種に PNG、GIF)らへんが暗号化の対象で、解除するための鍵がウイルス攻撃者のサーバー上に保管されてるということで、残念ながら身代金を支払う以外にファイルを元に戻すのは困難となってます

CryptoLockerランサムウェアウイルスから確認できる暗号化(破壊)したファイルの一覧 画像/PDF文書/ワード/エクセル/テキストなど文字化け
CryptoLockerウイルスのウィンドウ上で確認できる暗号化(破壊)したファイルたちの一覧リスト

暗号化したファイルを復号化する有償Webサービス『CryptoLocker Decryption Service』
CryptoLockerウイルスの開発者が用意した暗号化ファイルの解除を請け負うWebサービス

感染経路はサイト閲覧による強制感染も… (ドライブバイ・ダウンロード攻撃)

CryptoLockerウイルスは直で送られてくるワケではなく、最初に何かしら別のマルウェアに感染してから最終的にもたらされるパターンです。

CryptoLockerウイルスの感染経路
Upatre や Fareit など

Zbot

CryptoLocker

【1】 メールの添付ファイルの自爆感染 (ー。ー)<英語のメールが無縁なユーザーにはあんま関係なし

実在する企業などを名乗る英語表記の偽メールに添付された実行ファイルを手動で起動するパターンです。

【2】 偽セキュリティソフトネットバンク不正送金ウイルスと同じで、改ざん被害を受けてる一般サイトやブログの閲覧でウイルスが強制インストールされるドライブバイ・ダウンロード攻撃

  1. Flash Player を旧バージョンのまま放置してる
  2. Windows Update が行われてない
  3. Java を旧バージョンのまま放置してる
  4. Adobe Reader を旧バージョンのまま放置してる

逆に言うと、感染経路をふさぐウイルス対策を済ませた Windows Vista/7/8/10 なら、CryptoLockerウイルスが強制感染するような被害に巻き込まれる機会が100%訪れません。 (^ー^)v

  1. Adobe Flash Player はちゃんと最新版に更新されてる
  2. Windows Update は毎月実施されてる
  3. Java はちゃんと最新版に更新されてる
  4. Adobe Reader はちゃんと最新版に更新されてる

このような対策ソフトが仮に導入されてあっても、ウイルス感染経路が開いたまま放置されてると被害に巻き込まれうるから注意が必要です。

ウイルス対策がセキュリティソフトの導入とWindows Updateだけのユーザー
どっちも \(^o^)/ ヤバイ
あろうことかWindowsパソコンにセキュリティソフトを導入してないユーザー

CryptoLockerウイルス駆除削除アンインストール方法

  1. プロセスから CryptoLocker を殺した後にウイルス駆除ツールを走らせる
  2. レジストリエディタで Run & RunOnce の該当項目を削除し、パソコンを再起動してウイルス駆除ツールを走らせる
  3. CryptoLocker が起動した状態のままウイルス駆除ツールを走らせる

CryptoLockerウイルス関連のレジストリ

パソコン起動時にCryptoLockerウイルスが起動するための項目がレジストリの下の場所になります。

ちなみに、暗号化したファイルの一覧リストが下に場所に格納されます。

タスクマネージャーでCryptoLockerの動作を普通に殺すのはムリ!

CryptoLockerは2つの実行ファイル(ファイル名はランダム文字列)をプロセス上で同時に動かして相互監視し合うことで、Windowsのタスクマネージャーだと強制終了できない仕組みになってます。

下の「Vgqrxzextmwpjv.exe」の2ファイルがCryptoLockerの実行ファイルプロセス
CryptoLockerウイルスに感染して大事なファイルがっ! ファイル暗号化で身代金要求

プロセス一覧で項目を選択し右クリックメニューにある[プロセス ツリーの終了(T)]をしてやるか、マイクロソフトが無料で提供してるProcess Explorerを使って、ツリー全体を右クリックメニューの[Kill Processs Tree]で強制終了できます。

「以前のバージョン」「ファイル履歴」機能 と ボリューム シャドウコピー サービス

ボリューム シャドウコピー サービスという仕組みによって実現されてる Windows Vista/7 の「以前のバージョン」機能、Windows 8/10 の「ファイル履歴」機能で、破壊される前の過去のバックアップデータが残ってる場合にフォルダを復元・復旧できる”可能性”があります。

無料ウイルススキャンツール (フリーソフト、駆除対応)

  1. マイクロソフト セーフティスキャナー Microsoft Safety Scanner でクイックスキャン
    https://www.microsoft.com/security/scanner/使い方はコチラ
  2. マルウェアバイト アンチマルウェア Malwarebytes Anti-Malware Free で脅威スキャン
    https://www.malwarebytes.com/antimalware/使い方はコチラ
  3. カスペルスキー ウイルスリムーバル ツール Kaspersky Virus Removal Tool でスキャン
    https://support.kaspersky.co.jp/8527使い方はコチラ

セキュリティ会社の脅威情報

CryptoLocker の終幕と背後にいるサイバー犯罪者

GameOver Zeusボットネット と CryptoLocker の摘発 (2014年6月)

アメリカ、オーストラリア、オランダ、イタリア、ドイツ、フランス、日本、カナダ、ルクセンブルク、ニュージーランド、ウクライナ、イギリスの警察機関と、マイクロソフト、エフセキュア、マカフィー、シマンテック、トレンドマイクロなどセキュリティ関連会社の協力により、ボットネットGameOver ZeusとランサムウェアCryptoLockerに関連するネットワークに打撃を与えた。

米連邦捜査局FBIはZeuSの生みの親であるロシア人男性 Evgeniy Mikhailovich Bogachev とその協力者を指名手配した。

GameOver ZeuSウイルスとCryptoLockerに関与した協力者たち数名
Evgeniy Mikhailovich Bogachev に協力したロシア人やウクライナ人の男性たち

ネットバンキングウイルス Zeus の生みの親である Slavik こと Evgeniy Mikhailovich Bogachev の御尊顔。Zeus の派生であるボットネット GameOver Zeus や ランサムウェア Cryptolocker にも携わる。
感染マシンで築かれたボットネット GameOver ZeuS のオーナーであるロシア人男性の御尊顔

この対応により、活動が終了した『CryptoLocker は2014年4月までに約23万4千台が感染し、CryptoLocker が登場した最初の2ヶ月間に推定2700万ドル(約30億円)の身代金が支払われた』そうな。 (´_`)

CryptoLocker 暗号化ファイル復元サービス (2014年8月)

セキュリティ会社 FireEye(米国) と Fox-IT(オランダ) の協業で、ランサムウェア CryptoLocker によって暗号化されたファイルを復号化し復元する無料サービスを開始した。

www.DecryptCryptoLocker.com

法執行機関が差し押さえたサーバーから復号化解除用の鍵データを確保して実現できたもので、CryptoLocker 以外のランサムウェアの解除には対応しておらず、勝手に名乗って成りすます模倣ウイルス(Crypt0L0ckerTeslaCrypt)は種類が違うので利用できず。

<追記...> 2015年6月に役目を終えたとして復元サービスは終了した。

逮捕につながる情報に最大300万ドルの懸賞金 (2015年2月)

米国国務省は、2014年6月に指名手配が発表されてた Evgeniy Mikhailovich Bogachev の逮捕や有罪判決につながる情報に対して、新たに最大300万ドル(約3億5000万円)の懸賞金を支払うと発表した。

彼の最後の足取りは、ロシア南部の黒海沿岸にあるリゾート都市アナパとされ、所有する船で沿岸をクルージングするのを趣味としている。

PR 東芝の直販ショップ − 安い4万円台からノートPCがっ! ウェブ限定・送料無料

関連キーワード統計情報
[ランサムウェアとは] [ランサムウェア 駆除] [ランサムウェア 対策] [ランサムウェア 感染] [ランサムウェア 被害] [ランサムウェア 感染経路] [ランサムウェア 感染原因] [CryptoLocker 読み方] [CryptoLocker とは] [CryptoLocker アンインストール] [CryptoLocker 削除方法] [CryptoLocker ウィルス] [CryptoLocker 暗号化] [Crypto Locker ウィルス] …

雑記 > ランサムウェア > CryptoLockerウイルス


Copyright © Let's Emu!. All rights reserved.