GandCrab V5.0.4ランサムウェアに感染した場合の対処法|駆除とファイル復旧ガイド

PCの電源を入れた瞬間、デスクトップに突然このようなメッセージが表示されたら——それは、あらゆるコンピュータユーザーにとって最悪の悪夢の一つと言えるでしょう。このメッセージが画面に表示される、あるいはPC内のファイルの中に同様の文章が書かれているのを見つけた場合、あなたのコンピュータは「GandCrab」クリプトウイルスに感染している可能性が非常に高いです。

GandCrabは、感染したコンピュータ上のすべてのファイルや文書を暗号化するファイル暗号化型ランサムウェアです。このマルウェアはRSA-2048鍵またはSalsa2.0ストリーム暗号アルゴリズムを使用してファイルを暗号化し、デバイスの所有者に対して身代金要求メッセージを残します。メッセージには「料金を支払えばファイルを復号する」と記載されており、その金額はケースによって異なり、500ドルを要求する攻撃者もいれば、最大2,400ドルを要求する攻撃者もいます。

さらに攻撃者は、「一定期間内に支払わなければ金額を倍にする」と脅すことで、緊急性を煽ってきます。指示はDEKSTFDERT-DECRYPT.txtやDEKSTFDERT-DECRYPT.htmlのように、意味不明な文字列のファイル名を持つtxtまたはhtmlファイルとして残されます。

ワンポイント: 専用のPC最適化ツールを活用すれば、システムトラブルや動作低下の原因となる誤った設定、ジャンクファイル、有害アプリ、セキュリティ上の脅威をまとめて取り除くことができます。

GandCrabクリプトウイルスについて知っておくべきこと

GandCrabランサムウイルスは、2018年1月に初めて発見されて以来、着実に進化を続けてきました。出現から最初の6ヶ月間で5万台以上のデバイスに感染し、被害者から約60万ドルの身代金を回収しています。

GandCrabは当時最も活発かつ広範囲に蔓延したランサムウェアの一つとされ、これまでに5つのバージョンがリリースされています。最新版はGandCrab v5.0.4ですが、前バージョンとの明確な違いはないものの、セキュリティ企業が開発した復号ツールを回避するために絶えず変化を続けています。実際、GandCrabウイルスにおける最も注目すべき変更点は、RSA-2048暗号化アルゴリズムから、より高速なSalsa2.0ストリーム暗号への切り替えです。

GandCrab v5.0.4ランサムウェアの感染経路

GandCrabは複数の侵入経路を使ってコンピュータに感染します。主な感染経路は、スパムメール、エクスプロイトキット、その他のマルウェアキャンペーンです。それぞれ詳しく見ていきましょう。

スパムメール: 昔から、あらゆる種類のウイルスやマルウェアの主要な運び屋として知られています。ユーザーは魅力的な件名のスパムメールを開くよう誘導され、添付されたZIPファイルを実行してしまいます。このZIPファイルには、クリプトウイルスをダウンロードして実行するスクリプトが含まれています。

エクスプロイトキット: GandCrabクリプトウイルスのもう一つの感染経路です。GrandSoftやRIGは、GandCrabの配布に最も広く使われていたエクスプロイトキットです。ただし、バージョン5.0は当初Falloutエクスプロイトキットによって配布されたと報告されており、Falloutは現在Krakenランサムウェアの配布に関連しています。

その他の侵入経路には、セキュリティが脆弱なリモートデスクトップ接続、トロイの木馬に感染したプログラム、PowerShellスクリプト、Phorpiexなどのボットネットがあります。

GandCrabは何をするのか?

GandCrabの目的は、他のすべてのランサムウェアと同様、感染したシステムのファイルをすべて暗号化し、復号と引き換えに金銭を要求することです。支払いは通常、DashやBitcoinなどの追跡が困難な暗号通貨で行われます。

GandCrab v5.0.4ランサムウェアは、Windows 10/11、Windows 7、Windows 8.1を含むすべてのバージョンのWindowsシステムに感染します。ランサムウェアがインストールされると、システムをスキャンして暗号化対象のデータファイルを探します。.doc、.docx、.xls、.pdfなどの拡張子を持つ文書ファイルが最も一般的な標的です。これらのファイルが見つかると、ランサムウイルスはファイル拡張子を変更し、開けない状態にします。

ファイルの暗号化後、GandCrabは身代金要求メモを残し、デバイスの所有者が取るべき行動、特に支払い方法についての指示を記載します。身代金の支払いは強く推奨されません。支払いは攻撃者に自信を与え、さらなるウイルス拡散を助長するだけだからです。

お使いのデバイスがGandCrab v5.0.4ランサムウェアに感染した場合は、以下の手順に従ってシステムから完全に除去し、可能であればファイルの一部を取り戻しましょう。

GandCrab V5.0.4ランサムウェアの削除方法

残念ながら、現時点でGandCrab V5.0.4に対応した復号ツールは存在しません。Bitdefenderはランサムウェアの初代バージョン向けに復号プログラムを作成しましたが、作者がGandCrabをバージョン2.0にアップグレードしたことで無効になりました。他のセキュリティ企業も独自の復号ツールをリリースしようとしましたが、現時点で有効なものはありません。

そのため、不幸にもコンピュータがGandCrab V5.0.4に感染している場合は、以下の対応を行いましょう。

ステップ1: 感染したすべてのファイルのコピーを作成する

これにより、暗号化されたデータをすべて保存し、将来無料の復号プログラムが開発されるまで安全に保管できます。可能であればハードドライブ全体のイメージを作成するのが理想的です。そうすることで、暗号化ファイルだけでなく、身代金要求メッセージ、鍵データファイル、レジストリエントリなど、ランサムウェアに関連するすべての情報も保存できます。

ステップ2: コンピュータからGandCrab V5.0.4を削除する

まずは、さらなる被害が拡大する前に、システムからランサムウェアを除去することが重要です。Windowsからランサムウェアを削除するには、以下の手順に従ってください。

1. スタートメニューをクリックし、セーフモードで起動します。
2. 電源ボタンをクリックし、Shiftキーを押しながら再起動をクリックします。
3. コンピュータが再起動し、青いメニューが表示されます。この画面からトラブルシューティングを選択します。
4. トラブルシューティングメニューで、詳細オプション > スタートアップ設定 > 再起動を選択します。
5. 表示された3つのセーフモードオプションのいずれかを選択します。
6. セーフモード中に、検索ボックスにfileextension:と入力し、続けて探したい拡張子の種類を入力して感染ファイルを検索します。
7. 感染したファイルをすべて削除し、その後ごみ箱を空にします。Outbyte PC Repairなどのツールを使用すれば、ジャンクファイルが確実に削除され、感染ファイルがシステムに残らないことを確認できます。
8. アンチウイルスまたはアンチマルウェアツールを実行し、感染を完全に取り除きます。

ステップ3: 暗号化されたファイルの復元を試みる

GandCrab V5.0.4には公式の復号ツールがないため、サードパーティ製の復号ソフトウェアを試してみるのも一つの方法です。また、ファイル復元ソフトウェアでファイルの復旧を試みることもできますが、実際に復元できる保証はありません。この方法を試したユーザーの多くは、ファイルの大部分が破損した状態で戻ってきたと報告しています。

もう一つの選択肢は、感染発生前の以前の復元ポイントにシステムをロールバックすることです。現時点では、これが最善の選択肢となる可能性が高いでしょう。

復元ポイントを使用してPCの変更をロールバックするには、以下の手順に従ってください。

1. スタートをクリックし、検索ボックスに復元ポイントの作成と入力します。
2. 検索結果からシステムのプロパティをクリックします。
3. システムの復元 > 次へをクリックし、感染発生前の最新の正常な復元ポイントを選択します。
4. 影響を受けるプログラムのスキャンをクリックし、復元ポイント作成後にインストールされたアプリやプロセスを確認・削除します。
5. 閉じる > 次へ > 完了の順にクリックします。

これでデバイスは、復元ポイントが作成された時点——すべてが正常に動作していた頃——の状態に戻ります。

まとめ

コンピュータがGandCrab V5.0.4ランサムウェアに感染しているのを目にすると、誰でもパニックになりがちです——すべてのファイルが暗号化され、現時点では復号する手段がありません。身代金を支払えば問題が最も簡単に解決し、ファイルを取り戻せると思い、支払いを検討するユーザーもいるかもしれません。しかし、お金が振り込まれた後に、犯罪者が本当に約束を守ると信じられるでしょうか? おそらく、答えはノーです。彼らはあなたやあなたのファイルには関心がなく、あなたが差し出すお金にしか興味がないのです。

したがって、コンピュータがGandCrab V5.0.4ランサムウェアに感染した場合は、金銭を持って攻撃者に走らないでください。上記のステップバイステップガイドに従って、感染ファイルをコンピュータから除去し、他の手段でデータの復旧を試みましょう。さらに言えば、こうした攻撃に対抗する公式の復号プログラムがリリースされるまで、それほど長く待つ必要はないかもしれません。