Sodinokibi(REvil)とは?ランサムウェアの仕組みと対策を徹底解説

Sodinokibi(ソディノキビ)は「REvil」としても知られるランサムウェアで、感染したコンピューター上のユーザーファイルを暗号化し、データの復元と引き換えに金銭を要求するマルウェアです。身代金が支払われない場合、ファイルは破壊されるか永久にロックされてしまいます。ランサムウェアの平均的な支払額は0.5ビットコイン(約4,000ドル)と報告されています。

Sodinokibiランサムウェアの仕組み

Sodinokibiは「Ransomware-as-a-Service(RaaS:ランサムウェア・アズ・ア・サービス)」と呼ばれる形態で活動しており、悪名高いGandCrabという別のランサムウェアとよく似ています。実際、GandCrabと同じソースコードを共有しているとも言われていますが、開発者側はSodinokibiがGandCrabの後継であるという見方を否定しています。

このランサムウェアは主にWindowsシステムを標的としており、最近更新されていないコンピューターの脆弱性を積極的に悪用することで知られています。また、Oracle WebLogicなどWindows以外のソフトウェアの脆弱性も突きます。さらに、フィッシングキャンペーンの一環として配布されるケースもあります。

2019年には、Sodinokibiによる大規模なハッキングキャンペーンが発生し、テキサス州などで多くのコンピューターが被害を受けました。米国全土の歯科医院が利用するデータバックアップサービスや、ニューヨークの空港のコンピューターにも感染が確認されています。いずれの事例でも、攻撃者は被害者がデータにアクセスできるようにする前に、高額な身代金を要求しました。

Ransomware-as-a-Service(RaaS)とは?

Ransomware-as-a-Serviceは、マルウェア本体を「アフィリエイト(提携者)」に配布して拡散させる新しい手法です。アフィリエイトは自身の技術力や目的に応じて標的を選択できます。たとえばSodinokibiの一部のアフィリエイトは、管理対象のコンピューター数が非常に多いため、ITサービスプロバイダーやマネージドセキュリティプロバイダーを重点的に狙うことで知られています。アフィリエイトが感染に成功すると、得られた利益をマルウェアの開発者と分配します。一部の報告によれば、アクティブなSodinokibiアフィリエイトは41にも上るとされています。

Sodinokibiは駆除できるのか?

感染したコンピューターからSodinokibiを除去するのは非常に困難で、ほとんどの試みは失敗に終わっています。さらに、このランサムウェアの背後にいるハッカーは非常に悪質で、駆除を試みたユーザーへの制裁として、そのデータをオンライン上に公開することもあります。これは他のユーザーへの警告という名目ですが、極めて悪質な行為です。

感染した場合、「No More Ransom Project」が提供する無料の復号ツールを使ってファイルへのアクセスを試みることは可能です。しかし残念ながら、現時点でSodinokibiに対して有効な復号ツールは存在しないのが実情です。

では、感染してしまった場合に何ができるのでしょうか? 身代金の支払いは最後の手段として考えるべきではありません。支払いはハッカーをさらに増長させ、より攻撃的な行動を助長するだけだからです。代わりに取るべきなのは、そもそも感染を起こりにくくする予防策の実施、あるいはコンピューターを完全に初期化してやり直すことです。

まず、マルウェアを取り除くための思い切った方法を見ていきましょう。ただし、以下の方法ではファイルを復元できない点にご注意ください。あくまでPCから感染を除去するための手順です。

PCをリセットする

PCをリセットすると、すべてのマルウェアが除去され、Windowsが初期状態に戻ります。Windows 10/11でPCをリセットする手順は以下の通りです。

1. [スタート] > [設定] > [更新とセキュリティ] > [回復] を開きます。[このPCを初期状態に戻す] の下にある [開始する] > [回復設定を開く] を選択します。

次の方法でもPCをリセットできます。

2. Shiftキーを押しながら[スタート]ボタンをクリックし、電源アイコンを選択します。続いて[再起動]を押すと、PCが回復モードで起動します。再起動後、[トラブルシューティング] > [このPCを初期状態に戻す] を選択します。

リセット時には、ファイルを保持するかどうかを尋ねるプロンプトが表示されます。ファイルがSodinokibiに感染している場合は、保持する必要はありません。

ハードドライブをフォーマットする

思い切った操作を行う前に、まずハードディスクを完全にワイプして、Sodinokibiの隠れ場所をすべて排除することを検討してください。フォーマットによるハードドライブの消去手順は以下の通りです。

1. Windowsの検索ボックスに「disk management(ディスクの管理)」と入力します。
2. ディスクの管理アプリで、フォーマットしたいハードドライブを選択し、[フォーマット] をクリックします。
3. 新しいパーティションを作成する場合はパーティション名を付け、ファイルシステムを選択します。
4. 画面の指示に従ってフォーマットを完了します。

Windowsをクリーンインストールする

PCをリセットするもう一つの方法が、Windows OSの新規インストール(クリーンインストール)です。これによりPC上のすべてのファイルが削除され、リセットと同様にコンピューターが初期状態に戻ります。

Sodinokibiに感染させないための予防策

Sodinokibiのようなマルウェアに関しては「予防は治療に勝る」です。以下の対策を実践して、自分自身を守りましょう。

アンチマルウェアを導入する

多くの方はすでにPCにセキュリティソフトをインストールしていると思いますが、無料版だけでは不十分な場合があります。Outbyte Anti-Malwareのようなプレミアム版アンチマルウェアは、Sodinokibiだけでなく、PCを脅かすその他の脅威からも守る最良の選択肢となります。

PCを常に最新の状態に保つ

パッチが適用されていないソフトウェアの脆弱性は、マルウェアに悪用されます。だからこそ、PCを常に最新の状態に更新しておくことが重要です。

添付ファイルや危険なサイトに注意する

サイトの安全性が確信できない場合はアクセスしないのが賢明です。また、見知らぬ送信元からの添付ファイルはクリックしないようにしましょう。これはマルウェアが拡散する典型的な経路です。

データをバックアップする

マルウェア、特にランサムウェアは、失うものがある場合にこそ深刻な打撃となります。外付けハードドライブやGoogleドライブなどにデータを安全に保管しておけば、仮に攻撃を受けてもその影響を最小限に抑えられます。

この記事が、Sodinokibiに関する疑問の解決に役立てば幸いです。その他のご質問やご意見、コメントがあれば、下記のコメント欄からお気軽にお寄せください。