ランサムウェア「フィラデルフィア(Philadelphia)」は都市よりも危険!感染経路と駆除方法を徹底解説

フィラデルフィア市は、アメリカ合衆国でも有数の高犯罪率都市として知られています。そして今、その悪名高い都市の名を冠したランサムウェア「Philadelphia(フィラデルフィア)」が、文字通りサイバー犯罪の世界に登場しました。

Philadelphiaは、「Stampado(スタンパード)」ランサムウェアの亜種です。Stampadoは2016年7月に初めて確認され、Philadelphiaとほぼ同様の動作を行います。ただし、両者には決定的な違いがあります。Stampadoには「ロシアンルーレット」と呼ばれるタイマーが1つだけ搭載されているのに対し、Philadelphiaには2つのタイマーが備わっているのです。

Philadelphiaランサムウェアとは?

他の多くのランサムウェアと同様に、Philadelphiaもユーザーのデータを暗号化し、復元と引き換えに身代金を要求します。しかし、Philadelphiaはさらに一歩進んでおり、その悪意ある機能を第三者に販売することで「二重に」利益を得る仕組みを採用しています。

開発者はダークウェブ上のポータルサイト「The Rainmaker」を通じて、このマルウェアのソースコードを400ドルで販売しています。「楽して稼ぎたい」と考える者が誰でもこのプログラムを購入できるのです。さらに、マルウェア開発者は購入者に対し、フィッシングキャンペーンの構築やビットコインウォレットの設定など、身代金回収を円滑に行うためのサポートまで提供しています。一方で、彼ら自身も企業組織や個人ユーザーなどを標的とした本格的な攻撃キャンペーンを実行しています。

Philadelphiaランサムウェアの感染経路

Philadelphiaは主にフィッシングメールを通じて拡散され、多くの場合「支払い期限超過」を装う偽のメッセージに隠れています。このメッセージにはPhiladelphiaのウェブページへのリンクが含まれており、このリンクこそが感染への入り口となります。ユーザーがサイトにアクセスすると、Javaアプリケーションが自動的にダウンロードされる仕組みです。

侵入に成功すると、マルウェアは複数のファイルを暗号化し、ファイル名と拡張子を「locked」+ランダムな文字列に変更します。暗号化が完了すると、ユーザーに対して暗号化の事実と身代金の要求を通知します。

暗号化対象となるファイル形式

Philadelphiaは以下の形式のファイルを暗号化します。

.7z, .asp, .avi, .bmp, .cad, .cdr, .doc, .docm, .docx, .gif, .html, .jpeg, .jpg, .mdb, .mov, .mp3, .mp4, .pdf, .php, .ppt, .pptx, .rar, .rtf, .sql, .str, .tiff, .txt, .wallet, .wma, .wmv, .xls, .xlsx, .zip

Philadelphiaは非対称暗号化アルゴリズムを使用しており、暗号化鍵は公開され、復号鍵は秘密に保たれます。これにより、開発者はユーザーのデータを完全に掌握し、身代金を支払う以外の選択肢を残さないようにしています。身代金の額は通常0.3ビットコイン(当時のレートで約187ドル)です。

2つのタイマー:「Deadline」と「Russian Roulette」

身代金要求画面には2つのタイマーが表示されます。「Deadline(デッドライン)」は復号鍵を入手できるまでの残り時間を示し、「Russian Roulette(ロシアンルーレット)」はファイルが永久に削除されるまでの残り時間を示します。これらのタイマーは連動して動作し、カウントが0になると復号鍵とランダムな暗号化ファイルが削除されます。

画像出典:pcrisk

Philadelphiaランサムウェアの駆除方法

Philadelphiaランサムウェアは、手動の手順でシステムから除去することが可能です。感染してしまった場合は、以下の手順に従ってください。

ステップ1:セーフモードで起動する

Windows XP / Windows 7の場合:まずコンピュータをセーフモードで再起動します。画面に何かが表示されたらF8キーを繰り返し押し、「Windows詳細オプションメニュー」が表示されるまで続けます。表示されたら、リストから「セーフモードとネットワーク」を選択してください。

Windows 8の場合:Windows 8のスタート画面を開き、検索バーに「詳細(Advanced)」と入力します。「PC設定の一般」→「高度なスタートアップオプション」の順にクリックし、「今すぐ再起動」をクリックしてPCを高度なスタートアップオプションで再起動します。次に「詳細オプション」ボタン→「トラブルシューティング」ボタンをクリックします。詳細オプション画面が表示されたら「スタートアップ設定」をクリックし、「再起動」ボタンを押すと、PCがスタートアップ設定画面で再起動します。ここまで完了したら、F5キーを押して「セーフモードとネットワーク」でPCを起動してください。

ステップ2:マルウェアを除去する

Philadelphiaに攻撃されたアカウントでシステムにログオンし、信頼できる正規のアンチマルウェアソフトウェアをダウンロードまたは購入します。インストール後、システム全体をスキャンし、検出されたすべてのマルウェアを除去してください。

ステップ3:ファイルを復元する

トロイの木馬をシステムから除去したら、「Windowsの以前のバージョン」機能を使って暗号化されたファイルを復元できます。

• 復元したいファイルを選択し、右クリックします。
• 「プロパティ」を選択します。
• 「以前のバージョン」タブが表示されます。
• バージョンを選択して復元を実行します。

これらの手順は、他のランサムウェア亜種にも応用できます。ただし、「Windowsの以前のバージョン」機能が有効に働くのは、ランサムウェアがシャドウコピーを暗号化・削除していない場合に限られます。

注:これらの手順はPC Riskが推奨しているものです。