「JhoneRAT」マルウェアに注意!中東を狙う新種RATの脅威と対策を徹底解説

サイバーセキュリティ業界において、リモートアクセス型トロイの木馬(RAT)は2019年の注目トピックの一つとされました。そして研究者たちは、この脅威は今年もさらに勢いを増していくと予測しています。2019年にRATの急増を牽引した攻撃グループとしては、FlawedGrace RATやServHelperバックドアの仕掛け人として悪名高いTA505などが挙げられます。

現在、新たなRATである「JhoneRAT」が活発なキャンペーンの一環として拡散しており、コンピューターユーザーへの注意喚起が行われています。研究者によると、このマルウェアは2019年11月に初めて確認され、それ以来、中東地域の被害者へ攻撃を仕掛けています。攻撃者はアラビア語圏のユーザーに確実に届くよう、巧妙な手口を用いていることが明らかになっています。

JhoneRATの標的となっている国は、アルジェリア、エジプト、クウェート、リビア、オマーン、シリア、UAE(アラブ首長国連邦)、イエメン、チュニジア、サウジアラビア、モロッコ、レバノン、イラク、バーレーンです。

では、JhoneRATとはどのようなマルウェアで、どんな危険をもたらすのでしょうか。詳しく見ていきましょう。

JhoneRATマルウェアとは?

JhoneRATは、悪意のあるMicrosoft Office文書に偽装して侵入してくるマルウェアです。開発者は、キーボードのレイアウトをチェックすることで標的を選別できるよう設計しました。ダウンロードされると、さらなるマルウェアを含むプログラムのダウンロードを開始し、被害者のコンピューターから入手可能な限りの情報を収集します。

被害者の報告によると、攻撃者は悪意のあるMicrosoft Office文書を通じてJhoneRATを配布しています。これらの文書は、組み込みマクロを含む別の文書をダウンロードして開くように作られています。

こうした文書には、主に以下のような名前が付けられています。

• Urgent.docx – 英語とアラビア語で「編集を有効にする」よう促す最初の文書です。
• Fb.docx – ユーザーから収集した情報を含む文書です。
• UAEの組織から送られたとされるぼかし加工の文書 – 内容を読むために編集を有効化するよう被害者に求める文書です。

被害者が編集を有効にすると、マルウェアは本来の活動を開始します。このマルウェアは3つのスレッドで構成されており、1つ目は被害者のキーボードレイアウトがアラビア語かどうかを確認し、2つ目は被害者がマルウェアを削除できないようにブロックし、3つ目はマルウェアを起動させて活動を開始させる役割を担っています。

JhoneRATマルウェアによる危険性

サイバー犯罪者は、JhoneRATに以下のような動作を行わせるよう設計しています。

• 被害者のコンピューターのスクリーンショットを撮影し、画像ホスティングサイトへ送信する
• 画像ファイルに偽装したファイルをダウンロード・実行する
• クレジットカード情報、パスワードなどの認証情報といった個人情報を盗み出す
• システムにさらなるマルウェアを感染させる

被害者の中には、JhoneRATによってさまざまなトラブルに見舞われた人がいます。ある人は個人情報の盗難(なりすまし)の被害を受け、また別の人は多額の金銭やデータを失いました。JhoneRATが作成された目的は、言うまでもなく金銭的な利益の獲得です。

JhoneRATマルウェアの感染経路

このマルウェアは、マクロコマンドが有効になった悪意のあるMicrosoft Office文書をユーザーが開いた際にインストールされます。多くの場合、こうした文書は不特定多数の人々に送られる添付ファイル付きメールによって拡散されます。

残念ながら、迷惑メールキャンペーンだけが感染経路ではありません。怪しいソフトウェアのダウンロードサイト、非公式のアクティベーションツール(不正ライセンス認証ツール)、偽アプリなどを通じて配布されるケースもあります。

あなたのPCは感染している?確認すべき兆候

JhoneRATは検知されにくいマルウェアです。以下のような症状に気づいて初めて、感染が判明することも少なくありません。

• システムファイルの改ざん
• データの破損
• コンピューター上にさらなるマルウェアがインストールされている
• セキュリティ機能の低下
• パソコンの動作が極端に遅くなる

JhoneRATマルウェアの削除方法

万が一、お使いのコンピューターがJhoneRATに感染してしまった場合は、以下の方法を試してみてください。

方法1:マルウェアを手動で削除する

マルウェアの手動削除は決して簡単な作業ではありませんが、実行する場合はまずマルウェアの名称を特定しましょう。

前述のとおり、このマルウェアはMicrosoft Office文書のスレッドとして存在します。対象を特定できたら、以下の手順に進んでください。

1. 自動起動アプリ、レジストリ、システムフォルダ内の不審なファイルを探します。
2. 見つかったファイルを削除します。

方法2:セーフモードで再起動する

セーフモードでの再起動により、マルウェアを除去できる場合があります。手順は以下のとおりです。

1. Windowsボタンを押します。
2. Shiftキーを押しながら再起動を選択します。
3. トラブルシューティングを選択します。
4. 詳細オプションを選びます。
5. スタートアップ設定をクリックし、再起動を選択します。
6. 複数の起動オプションが表示されるので、セーフモードを選びます。
7. Windowsがセーフモードで再起動します。

方法3:コントロールパネルからアンインストールする

頑固なマルウェアは、コントロールパネルから削除することもできます。以下の手順に従ってください。

1. Windows + Rのショートカットキーを押してファイル名を指定して実行を開きます。
2. テキストフィールドにappwiz.cplと入力します。
3. Enterキーを押してコントロールパネル(プログラムと機能)を開きます。
4. JhoneRATに関連するファイルやプログラムを探し、すぐにアンインストールします。

方法4:専門家に相談する

JhoneRATは比較的新しいマルウェアであるため、専門家への相談をおすすめします。セキュリティのプロであれば、この脅威について十分に把握しており、感染したコンピューターへの適切な対応方法を知っているはずです。

パソコンがまだ保証期間内であれば、最寄りのサービスセンターに持ち込んで技術者に修理を依頼しましょう。保証期間を過ぎている場合は、Microsoftの公式サポートチームに連絡するのも一つの手段です。

JhoneRATマルウェアからPCを守る予防策

JhoneRATの感染を防ぐ方法はいくつかありますが、最も重要かつ効果的なのは、見知らぬメールに添付された文書を開かないことです。特に、差出人が不明なメールアドレスからのメールであればなおさらです。そのようなメールは無視し、添付ファイルは絶対に開かないようにしましょう。

また、ファイルやプログラムは必ず公式かつ信頼できるソースからのみダウンロードしてください。アプリのアップデートが必要な場合は、開発元の公式サイトで手順を確認するか、有名開発者が提供する正規のダウンロードツールを利用しましょう。

不要ファイルやジャンクファイルを削除してシステムのパフォーマンスを最適化することも有効です。PC修復ツールをダウンロード・インストールし、クイックスキャンを実行して、必要に応じてファイルを削除できます。

何よりも重要なのは、定期的にシステムをスキャンして脅威をチェックすることです。信頼できるアンチマルウェア・アンチウイルスソフトを使って、潜在的な脅威をできるだけ早く除去しましょう。

まとめ

JhoneRATがもたらしうる被害の深刻さは、現時点では完全には把握できていません。しかし、自分自身が被害に遭うまで待つ必要はありません。マルウェアがあなたのコンピューターに大打撃を与える前に、必要な予防策を講じましょう。すでにシステムへの侵入を疑われる場合は、上記の対策を順番に試してみてください。すべてうまくいかない場合は、迷わず専門家の助けを求めましょう。