画像ファイルでPCが感染する?SNS経由で拡散したランサムウェア「Locky」の脅威と対策

ある程度パソコンに詳しい方なら、システムがウイルスに感染したと聞くと、実行形式のコードがセキュリティ機能を乗っ取ったのだと考えるのが普通でしょう。感染経路はさまざまありますが、「ウイルス=実行ファイル」というイメージは非常に強く、JPEGやPNG画像、MP3ファイルといったデータファイルから自分を守る必要はないと思いがちです。しかし、本当にそう言い切れるのでしょうか?

実は、先に挙げたファイル形式のうちJPEGとPNGは、FacebookやLinkedInのメッセージ機能を通じてコンピュータに感染させるために悪用されたことがあります。EngadgetのJon Fingas氏が2016年11月27日に報じた事例です。

何が起きていたのか?

2016年2月18日、シマンテック(Symantec)は奇妙なソフトウェアを発見しました。これはWeb上で拡散する新型のランサムウェアでした。この亜種は「Locky(ロッキー)」と呼ばれ、添付ファイル付きのスパムメールを通じて、2016年1月から3月にかけて週に約1万〜2万人というペースで被害者を増やしていきました。ZIPファイルを添付したメールによる感染は90年代から定番の手口なので、この段階ではそれほど驚きではありませんでした。

ところが、その後さらに奇妙なことが起こります。

2016年11月下旬、FacebookとLinkedInのユーザーの間で、画像が添付されたメッセージが送りつけられるようになったのです。一見すると無害な写真に見えますが、開いてみるとそこには新たな変異型のLockyが潜んでいました。システム内のファイルを暗号化し、身代金として200〜400米ドルを支払わない限りロックを解除しないという手口です。最も衝撃的だったのは、このウイルスが従来のような実行コードではなく、「画像」を通じて拡散したという点でした。

見た目どおりではない

確かに画像がSNS上での感染に利用されていましたが、その実態は見た目とは少し違います。Lockyの仕組みとその巧妙な手口を詳しく調べてみると、「あなたを狙うJPEG画像」という単純な話以上の事情があることが分かりました。

まず重要なのは、マルウェアを送りつける側が配布しているのは、SNSで「画像を送った」という印象だという点です。FacebookとLinkedInのコードには脆弱性があり、特定のファイルが画像アイコン付きで転送されることを許してしまっていました。受け取った側は、ペットの猫や庭の花の写真といった無害な画像をもらったと信じ込んでしまいます。しかし、実際にダウンロードされるのはHTAファイルです。これは1999年から存在する、非常に古いWindows向けの実行プログラム形式です(90年代のソフトウェアがいかに無軌道だったかを示す好例と言えるでしょう)。

基本的にHTAアプリケーションはEXEファイルと似ていますが、「mshta.exe」というプログラムの上に重ねて動作し、もともとは管理者がシステムへ素早く変更を加えるために使われてきたものです。実行環境のOSから完全な「信頼」を得ているため、コードが許す限り、どのような破壊的動作でも自由に行えてしまうのです。

感染を防ぐには

残念ながら、一度Lockyに感染してしまうと対処の選択肢は限られます。セーフモードで起動した状態で除去できるアンチマルウェアソフトを見つけられることを祈るしかありません。しかし、そもそもの感染を防ぐこと自体は比較的簡単です。

Facebookで画像ファイルを受け取ったとき、下の画像のようにプレビューが表示されない場合は、ダウンロードを促される可能性が高いといえます。

ファイルをダウンロードしたら、必ず拡張子を確認してください。「JPG」「JPEG」「PNG」など画像らしい拡張子になっていなければ、ウイルスである可能性が高いと判断できます。LockyはHTA形式で確認されていますが、ほかの実行形式(.COM、.PIF、.SCR、.CPL、.JAR、.APPLICATION、.EXE、.MSIなど)として現れる可能性もあります。見慣れない拡張子には常に注意を払い、認識できないファイルには警戒心を持ちましょう。

受け取ったファイルが本当に画像かどうかを確実に見分ける方法の一つは、エクスプローラーの表示スタイルを「大アイコン」に変更してみることです。本物の画像であればサムネイルが表示され、そうでなければアイコンのみが表示されます。

ほかにも役立つ対策のアイデアをお持ちの方は、ぜひコメント欄で教えてください!