WannaCryランサムウェアを完全削除!感染の仕組みと予防対策ガイド

マルウェアやランサムウェアの中には、ユーザーのPCに侵入して金銭を奪うことを目的としたものが数多く存在します。その中でも最も恐れられた存在のひとつが「WannaCry(ワナクライ)」ウイルスです。

WannaCryウイルスの駆除は決して簡単な作業ではありません。その名の通り、感染すれば本当に「泣きたくなる」ような深刻な被害をもたらします。

WannaCryはWindows PCを標的としているため、Macユーザーであれば一安心と思われがちです。しかし、Boot Campや仮想マシン(Virtual Machine)を使ってMac上で古いバージョンのWindowsを動かしている場合、依然として感染リスクがある点には注意が必要です。

この記事では、WannaCryウイルスとは何か、どのように動作するのか、そして感染を防ぐためにできる予防策について詳しく解説します。

パート1:WannaCryウイルスとは?その仕組みを解説

WannaCryは、2017年5月に世界中のPCネットワークへ急速に拡散したランサムウェア(ワーム型)です。Windows PCに感染すると、ハードドライブ上のファイルを暗号化し、ユーザーが自分のファイルにアクセスできない状態にします。その後、復号化と引き換えにビットコインでの身代金支払いを要求するのです。

WannaCryの初期拡散が特に深刻だった理由のひとつは、イギリスの国民保健サービス(NHS)をはじめとする重要かつ大規模なシステムを攻撃したことにあります。

このウイルスが悪用したのは、米国国家安全保障局(NSA)が発見していたWindowsの脆弱性でした。さらに、シマンテックをはじめとするセキュリティ専門機関の調査により、北朝鮮政府との関わりが疑われるサイバー犯罪組織「ラザルスグループ(Lazarus Group)」との関連が指摘されています。

WannaCryランサムウェアは複数のコンポーネントで構成されており、感染したPC上では「ドロッパー」と呼ばれる独立したプログラムとして現れます。このドロッパーは、内部に埋め込まれた他のアプリケーションコンポーネントを展開します。主な構成要素は以下の通りです。

• ファイルの暗号化・復号化を行うアプリケーション
• 暗号化キーを含むファイル
• TOR(The Onion Router)のコピー

WannaCryウイルスの攻撃メカニズム

WannaCryの攻撃手法は、ウイルスそのものよりも非常に興味深いものです。WannaCryが悪用する脆弱性は、WindowsにおけるSMB(Server Message Block)プロトコルの実装にあります。

SMBプロトコルは、ネットワーク上の複数ノード間の通信を可能にする仕組みですが、Microsoftの実装では、細工されたパケットによって任意のコードを実行させられる可能性がありました。

興味深いことに、WannaCryは感染後すぐにファイルを暗号化し始めるわけではありません。まず、特定の特殊なURL(いわゆる「キルスイッチ」ドメイン)へのアクセスを試みます。そのURLに到達できた場合、WannaCryは自ら活動を停止する仕組みになっています。この機能の意図について確固たる証拠はありませんが、多くの研究者はマルウェアを「サンドボックス」と呼ばれる隔離環境で解析しており、サンドボックス内ではあらゆるURLやIPアドレスに到達可能に見える特性があります。WannaCryが実際には存在しない無意味なURLへの接続を試みるのは、こうした解析環境を検出して本物の感染を回避するためではないかと推測されています。

MacがWannaCryに感染している兆候

現在、WannaCryは過去の脅威となっており、標的もWindowsですが、前述の通り仮想マシンでMac上にWindowsを動作させている場合は感染の可能性が残ります。

感染の兆候としては、まずMacの動作が明らかに遅くなり、画面に「ファイルがロックされました」という通知が表示されます。ロックを解除してアクセス権を取り戻すには、300ドルから600ドル相当のビットコインを送金するよう要求されるのが典型的なパターンです。

パート2:WannaCryウイルスの削除方法

WannaCryウイルスは主にWindows PCに感染するため、ここでは自分でウイルスを除去する具体的な手順をご紹介します。作業に自信がない場合は、詳しい友人に手伝ってもらうのもよいでしょう。なお、作業を始める前に、必ずWindowsに最新のセキュリティパッチを適用しておいてください。

対処法1:ネットワーク付きセーフモードを使用する

Windows XP / Windows 7の場合

1. PCをセーフモードで起動します:[スタート]をクリック > [シャットダウン]を選択 > [再起動]を選択 > [OK]をクリック
2. 起動プロセス中にキーボードのF8キーを繰り返し押し、「Windows詳細オプションメニュー」が表示されるまで待ちます > 画面から[セーフモードとネットワーク]を選択

Windows 8の場合

1. スタート画面を開く > 「詳細」と入力 > [設定]を選択 > [詳細スタートアップオプション]をクリック
2. [再起動]ボタンをクリック > [トラブルシューティング]を選択 > [詳細オプション]をクリック
3. 詳細オプションページで[スタートアップ設定]を選択 > [再起動]を選択 > キーボードのF5キーを押してネットワーク付きセーフモードへ移行

Windows 10の場合

1. Windowsロゴをクリック > 電源アイコンを選択 > キーボードのShiftキーを押しながら[再起動]を選択
2. オプションの選択画面で[トラブルシューティング]を選択 > [詳細オプション]を選択
3. メニューから[スタートアップ設定]を選択 > [再起動]ボタンをクリック > 次の画面でF5キーを押す
4. これにより、ネットワーク付きセーフモードでOSが起動します

WannaCryウイルスに感染したアカウントにログインし、正規のアンチウイルスソフトをインストールします。その後、アンチウイルスプログラムを最新の定義に更新し、PC全体のスキャンを実行して、検出されたすべての項目を削除してください。

対処法2:Windows Defenderを使用する

1. スタートメニューをクリック > 検索テキストボックスに「Windows Defender」と入力
2. Defenderを起動し、PCのフルスキャンを実行
3. 脅威が検出された場合は、Defenderの機能を使って駆除する

すでにファイルがロック(暗号化)されてしまっている場合、最も簡単な解決策は、直近のバックアップやシステムの復元ポイントがあれば、それを使ってファイルを復旧することです。日頃からの定期バックアップが、ランサムウェア被害を最小限に抑える最大の防御策となります。

万が一バックアップが利用できない場合でも、WannaCryによってロックされたファイルを復号できるツールが多数ウェブ上で公開されているため、信頼できる提供元のものを試してみてください。