ランサムウェア「CryptoLocker」に感染したファイルを無料で復号・復旧する方法

CryptoLockerは、仕組みこそシンプルですが極めて破壊的なランサムウェアです。これまで、CryptoLockerに感染したコンピュータは、要求された身代金を支払わない限り、事実上使用不可能な状態に陥っていました。

CryptoLockerとは何か

CryptoLockerは、Windows OSを搭載したコンピュータを標的に設計されたランサムウェア型のトロイの木馬です。一度感染すると、ローカルストレージ、マップ済みのネットワークドライブ、接続中のリムーバブルドライブ上にあるすべてのデータが、2048ビットRSA公開鍵暗号方式によって暗号化され、すべてのファイルが使用できなくなります。身代金(300米ドルまたは相当額のビットコイン)を支払わない限り、ファイルを取り戻すことはできません。

長らく、CryptoLockerによって暗号化されたデータを復元する手段は存在しませんでした。

しかし、セキュリティ企業Fox-ITとFireEyeの研究者たちが秘密暗号鍵の復元に成功し、さらにKyrus Technologiesが実際の復号エンジンを開発しました。これらの企業の協力により、CryptoLockerの被害者が暗号化されたファイルを無料で復号できる専用ウェブサイトが公開されました。

CryptoLockerに感染したファイルを復号する手順

暗号化されたファイルを復号するには、decryptcryptolocker.comにアクセスします。復号鍵を特定するため、暗号化されたファイルのサンプルとメールアドレスを送信する必要があります。これにより、サイト側から復号鍵と無料の復号プログラムがメールで届きます。なお、メールアドレスがマーケティング目的に使われることはないと公式に明言されています。ただし、機密情報を含まないファイルのみをアップロードするよう注意してください。

手順は以下の通りです。まずメールアドレスを入力し、「Choose file」ボタンをクリックして、CryptoLockerに暗号化されたファイルのサンプルを選択します。次にCAPTCHAコードを入力し、「Decrypt」ボタンを押します。

サンプルファイルを送信すると処理が行われ、復号鍵(秘密鍵)と復号プログラムのダウンロードリンクが記載されたメールが届きます。

復号鍵と復号ツールを受け取ったら、ツールを起動し、以下のコマンドを実行してファイルの復号を開始します。

Decryptolocker.exe –key "<key>" <Lockedfile.doc>

残念ながら、このツールにはPC内の全ファイルを一括で自動復号する機能はありません。Windows PowerShellやバッチスクリプトで処理を自動化する方法を知らない限り、基本的には1ファイルずつ復号作業を行う必要があります。CryptoLockerの復号に関する詳細は、FireEyeの公式サイトで確認できます。

まとめ

CryptoLockerは、ユーザーの貴重なデータを人質に取る悪質なマルウェアです。万が一感染してしまった場合は、本記事で紹介したサービスを活用すれば、身代金を支払わずにファイルを取り戻せる可能性があります。なお、この復号サービスはCryptoLockerの基盤が摘発された後に期間限定で提供されたものであるため、現在も利用可能かどうかは必ず事前に確認してください。また、今後の攻撃に備えて、信頼性の高いアンチウイルスソフトを導入し、重要なデータは定期的にバックアップしておくことを強くおすすめします。加えて、この手法はCryptoLocker本体には有効と期待されますが、CryptoBitやCryptoDefenseなどの亜種によって暗号化されたファイルには対応していない点にご注意ください。