Bad Rabbit(バッドラビット)マルウェアとは?感染経路・除去方法・予防策を徹底解説

Bad Rabbit(バッドラビット)は、ウクライナやロシアを中心とした東欧諸国で猛威を振るったランサムウェアの一種です。WannaCryやNotPetyaによる大規模な身代金要求キャンペーンに続いて東欧に深刻な被害をもたらした、3番目のマルウェアとして知られています。

Bad Rabbitの感染経路と手口

サイバーセキュリティ研究者によると、Bad Rabbitは「ドライブバイ攻撃」と呼ばれる手法で拡散します。ユーザーが不正に改ざんされた正規サイトを訪問すると、マルウェアドロッパーのダウンロードが自動的にトリガーされ、感染につながります。

多くの場合、このマルウェアはAdobe Flashのインストーラーに偽装されているのが特徴です。無害に見えるファイルをインストールすると、感染デバイス上のファイル暗号化プロセスが開始されます。

感染サイトを訪問すると、JavaScriptによってHTMLファイルやJavaファイル内に偽のAdobe Flash Playerが埋め込まれます。この悪意のあるファイルをクリックすることで感染プロセスが始まり、さらに偽のFlash Playerは頻繁にアップデートを促すため、感染したコンピューターは追加の不正侵入に対しても脆弱になります。

被害の範囲と身代金の要求内容

主な標的はロシアとウクライナでしたが、ドイツやトルコの一部のコンピューターも攻撃を受けています。感染が完了すると、0.5ビットコイン(約280米ドル相当、為替レートにより変動)の身代金が要求されます。支払い期限は40時間であり、期限内に支払わない場合、暗号化されたファイルは永久に失われると脅迫されます。Bad Rabbitは基本的に単一のデバイスを狙いますが、ボットのようにネットワーク経由で横展開されることもあります。

被害者に表示される身代金要求メッセージ

以下は、感染したことを被害者に通知するReadme.txtの内容(日本語訳)です。

「おっと!あなたのファイルは暗号化されました。
このテキストが表示されているということは、あなたのファイルにはアクセスできなくなっています。ファイルを復元する方法を探していることでしょう。
時間を無駄にしないでください。当社の復号サービスなしに、ファイルを復元できる者はいません。
すべてのファイルを安全に復元できることを保証します。必要なのは支払いを行い、復号パスワードを取得することだけです。
当社のウェブサービスにアクセスしてください ―
個人インストールキー#： ―
すでにパスワードをお持ちの方は、下記に入力してください。」

Bad Rabbitの犯人は誰なのか?

現在のところ、Bad Rabbitマルウェアの制作責任を名乗り出たハッカーグループは存在しません。しかし、サイバーセキュリティ専門家はBad RabbitとNotPetyaマルウェアとの間に複数の類似点を発見しており、両者は同じ作者によるものだと推測しています。

このランサムウェアは、SMB(Server Message Block)の脆弱性を悪用して動作します。これは他のマルウェアも使用している手法であり、さらに米国家安全保障局(NSA)が発見したエクスプロイト「EternalRomance」を利用することでも知られています。

Bad Rabbitに感染した場合の対処法

身代金を支払わずにBad Rabbitランサムウェアを除去できるのでしょうか?残念ながら、効果的な対処法は限られています。このウイルスはAES 256ビットおよびRSA-2048という非常に解読が困難な暗号方式を採用しているためです。さらに、ランサムウェアはコンピューターを再起動させるため、復旧に役立つWindowsの設定やアプリへのアクセスが遮断され、通常どおりの起動すら不可能になります。

では、身代金を支払うべきなのでしょうか?答えはノーです。犯罪者の要求に従うことは、今後さらに悪質なマルウェアを開発する動機を与えるだけです。加えて、犯罪者を信用してはいけません。身代金を支払っても、ファイル復号の約束を反故にされるリスクがあります。

感染後にファイルを復元できる可能性

前述のような厳しい状況ではありますが、Bad Rabbit感染後にファイルを復元できる可能性がゼロではありません。セキュリティ研究者は、このマルウェアの設計上の欠陥を突き止めました。Bad Rabbitは、ファイルを暗号化した後もシャドウコピーを削除しないのです。そのため、Windowsの標準機能やサードパーティ製ユーティリティを使えば、暗号化されたファイルの元のバージョンを復元できる場合があります。

これらのユーティリティを使用するには、まずネットワークありのセーフモードでWindowsを起動し、ウイルスを隔離したまま除去作業を行える環境を作る必要があります。手順は以下のとおりです。

1. 電源ボタンを10秒間押し続けて、コンピューターの電源を切ります。
2. 電源ボタンを押して起動します。これを繰り返し(最低3回)行うと、Windows回復環境に入れます。
3. Windows回復環境の「オプションの選択」メニューから、[トラブルシューティング] > [詳細オプション] > [スタートアップ設定] > [再起動] を選択します。
4. 再起動後に表示される選択肢の中から「5」を選ぶか、F5キーを押して、ネットワークありのセーフモードで起動します。

ネットワークありのセーフモードではインターネットに接続できるため、Outbyte Antivirusなどの強力なアンチマルウェア製品をダウンロードし、Bad Rabbitマルウェアを完全に除去できます。

アンチウイルスソフトだけですべてのファイルを復元できるとは限りませんが、暗号化を免れたファイルがあれば、その多くを救出できる可能性は十分あります。IT技術者に相談すれば、シャドウファイルの復元方法についてアドバイスをもらえることもあるでしょう。

システムの復元を活用する方法

Bad Rabbitマルウェアへのもうひとつの対抗手段が「システムの復元」です。システムの復元は、コンピューターを過去の正常な動作状態に戻せるWindowsの便利な機能です。マルウェアの影響でアプリや設定にアクセスできない場合は、ネットワークありのセーフモードの代わりに、[詳細オプション]メニューから[システムの復元]を選択できます。[詳細オプション]メニューへのアクセス手順は、上記と同じです。

ただし、システムの復元が機能するのは、あらかじめ復元ポイントが作成されている場合のみです。復元ポイントがない場合は、ネットワークありのセーフモードを利用するか、より抜本的な手段としてPCを初期化してマルウェアを駆逐する必要があります。

Bad Rabbitマルウェアからコンピューターを守る予防策

Bad Rabbitをはじめとするランサムウェアの被害に遭わないために、以下の対策を実践しましょう。

1. 信頼できるアンチマルウェアを導入する
強力なアンチマルウェアソリューションをインストールしましょう。あわせてPC修復ツールを導入すれば、コンピューターのパフォーマンスを常時監視し、異常があれば通知してくれます。

2. Windows OSを常に最新の状態に保つ
最新版でない場合は、セキュリティパッチを適用して更新しましょう。ご存じのとおり、スノーデン暴露事件によってそれまで非公開だった多くのソフトウェア脆弱性が公になりました。ハッカーや犯罪者がマルウェアを仕掛ける際に悪用し続けているのが、まさにこうした脆弱性です。

3. 怪しいファイルのダウンロードを避ける
信頼できないソースからの添付ファイルやダウンロードは絶対に避けましょう。不審なリンク、サイト、ダウンロード先に心当たりがない場合は、必ず確認してからアクセスすることが大切です。そして何より、重要なファイルは物理的な外付けハードディスクなどに定期的にバックアップしておきましょう。これは、どんなハッカーグループの脅威にも対抗できる確実な防御策となります。

以上、悪名高いBad Rabbitマルウェアについての解説でした。このランサムウェアに関するご質問、ご提案、追加情報などがあれば、ぜひ下のコメント欄でお聞かせください。