STOPランサムウェア対策ガイド：感染経路・駆除方法・今後の攻撃を防ぐ予防策を徹底解説

デバイスで作業中、突然動作が重くなったり、以前は開けていた重要なファイルにアクセスできなくなったりした経験はありませんか。「Windowsがファイルを開けません」や「ファイル形式が不明です」といったエラーメッセージが表示されることもあります。こうしたトラブルの原因がランサムウェア攻撃である場合、被害はさらに深刻です。本記事では、STOPランサムウェアを中心に、この脅威への対処法と今後の攻撃を防ぐための対策を詳しく解説します。

STOPウイルスは近年最も蔓延しているクリプトマルウェア（暗号化型マルウェア）の一種です。2017年に初めて確認されて以降、新たな亜種が次々と出現しており、ほぼ毎月のように新しいバージョンが発見されています。被害者は.keypass、.shadow、.todar、.lapoi、.daris、.tocue、.gusau、.docdoc、.madek、.novasof、.djvuuなど、見慣れない拡張子が付いたファイルを目にすることになります。中でも特に活動的なのはDjvuランサムウェアとKeypassランサムウェアです。

STOPウイルスの概要

STOPウイルスはRSAとAESのアルゴリズムを組み合わせてデータを暗号化し、「.STOP」拡張子を付加します。これにより、動画、画像、文書、音楽などのファイルが開けなくなり、使用不能の状態に陥ります。攻撃者は復号と引き換えに身代金の支払いを要求してきます。

セキュリティ研究者の推計によると、このウイルスは世界中で50万人以上の被害者を出しています。身代金の要求額は平均300ドル～600ドルです。この悪意のあるペイロードは、主にソフトウェアのクラック版、キージェネレーター（キgen）、メール添付ファイル、KMSPicoなどのツールを通じて拡散されています。

危険なSTOPウイルスへの感染は、深刻なセキュリティ問題につながりかねません。幸いにも、EmsisoftとMichael Gillespieによって開発された「Djvu STOP Ransomware Decryptor and Removal」というツールを使用すれば、一部の被害者はファイルを復元できています。このツールは100種類以上のウイルス変異種に対応した復号機能を持っています。

脅威の詳細まとめ

名称：STOPランサムウェア

カテゴリ：クリプトウイルス（暗号化型ウイルス）

暗号化技術：AESおよびRSA-1024

主な変異種：.STOP、.WAITING、.SUSPENDED、.CONTACTUS、.KEYPASS、.PAUSA、.DATASTOP、.DATAWAIT、.WHY、.INFOWAIT、.SAVEfiles、.puma、.shadow、.djvuu、.djvu、.udjvu、.djvus、.uudjvu、.charck、.chech、.Kroput1、.kropun、.doples、.luceq、.luces、.proden、.daris、.tocue、.lapoi、.pulsar1、.docdoc、.gusau、.todar、.ntuseg、.madeak ほか多数

身代金要求メッセージ：!!! YourDataRestore !!! txt、!!RestoreProcess!!!.txt、!!!DATA_RESTORE!!!.txt、!!!WHY_MY_FILES_NOT_OPEN!!!.txt、!!!!RESTORE_FILES!!!.txt、!!SAVE_FILES_INFO!!!.txt など。これらのファイルは通常、ファイルの暗号化完了後にデスクトップ上に出現します。

身代金額：300ドル～600ドル。72時間以内に支払えば50％割引を提示するケースもあります。

連絡先メールアドレス：admin@wsxdn.com

感染経路：改ざんされたウェブサイト、不正なメール添付ファイル、ブルートフォース攻撃、クラック版ソフト、エクスプロイト、キージェネレーターなど。

システムへの変更：Windowsレジストリの改変、シャドウボリュームコピーの削除、タスクスケジューラへの登録、プロセスの起動・停止など。

駆除方法：信頼性の高い強力なアンチマルウェアプログラムでシステム全体をスキャンしてください。そのうえで、信頼できる復号ツールを使ってファイルのロックを解除します。多くのバリエーションは復号可能です。

STOPランサムウェアの変異種

前述のとおり、この脅威は時間とともに新しい変異種が出現し続けています。代表的なバージョンのひとつがDjvuランサムウェアで、.djvu、.udjvu、.djvus、.uudjvu、.djvur、.djvuqといった複数の拡張子で識別できます。Djvu以外にも、以下のような新興の人気亜種が確認されています。

• CONTACTUSランサムウェア
• SaveFilesランサムウェア
• Keypassランサムウェア
• Pumaランサムウェア
• Suspendedランサムウェア
• Shadowランサムウェア

2019年12月には、.nawk、.kodg、.toec、.coot、.mosk、.derp、.lokf、.mbed、.peet、.meka、.rote、.righ、.zobm、.grod、.merl、.mkos、.msop、.nbesなど、多数の新変異種が出現しました。さらに2020年1月には、.kodc、.alka、.topi、.npsg、.reha、.repp、.nosuといった追加の変異種も検出されています。

STOPウイルスがPCに侵入する経路

このウイルスは通常、悪意のある添付ファイルを含む迷惑メール（スパムメール）を通じて拡散されます。ハッカーはソーシャルエンジニアリングの手法を駆使し、ユーザーに不正な添付ファイルを開かせてマルウェアを侵入させます。とはいえ、以下の兆候に注意すれば、不審なメールを見分けることは十分可能です。

• そのようなメールを受け取る予定がなかった（例：何も注文していないのにAmazonからのメールが届く）
• 文章の構成が奇妙だったり、誤字脱字が目立つ
• 会社のロゴや署名などの正式なクレデンシャルがない
• 件名も本文もなく、添付ファイルだけが入っている。または「添付資料をご確認ください」と促す内容になっている
• 送信者のメールアドレスが不審に見える

スパムメール以外にも、破損したプログラムやそのアップデートをダウンロードしたり、悪意のある広告をクリックしたりすることでも感染する可能性があります。インターネット利用者は、ウェブ上に潜む潜在的な危険を見極める力を身につけることが重要です。

ランサムウェア攻撃を止めるには？

要求された身代金を支払うことは、STOPウイルスがもたらした問題に対する最善の解決策ではありません。むしろ身代金を払うことは、攻撃者にさらなる犯罪継続を助長するだけです。身代金を支払う代わりに、まずウイルスを速やかに駆除し、その後データを復元する別の有効な手段を講じましょう。

方法1：STOPウイルスを手動で削除する

ステップ1：コンピュータをセーフモードで起動する

セーフモードで起動すると、ランサムウェアによって干渉されたすべてのファイルを隔離し、安全に削除できます。STOPウイルスはセキュリティソフトへのアクセスをブロックすることがあります。その場合は「ネットワーク付きセーフモード」で起動すれば、ウイルス対策機能を再び有効化できます。セーフモードで起動する手順は以下のとおりです。

1. WindowsキーとRキーを同時に押して「ファイル名を指定して実行」ウィンドウを開きます。
2. ウィンドウが表示されたら「msconfig」と入力し、Enterキーを押します。
3. 「システム構成」ウィンドウが表示されたら、「ブート」タブに移動します。
4. 「セーフブート」オプションにチェックを入れ、同様に「ネットワーク」オプションにもチェックを入れます。
5. 「適用」をクリックし、続いて「OK」をクリックして設定を有効化します。

ステップ2：隠しファイルを表示する

ランサムウェアは悪意のあるファイルをシステム内に隠していることがよくあります。そのため、隠しファイルをすべて表示させる必要があります。手順は以下のとおりです。

1. 「マイコンピュータ」または「PC」（お使いのPCでの表記による）を開きます。
2. Windows 7の場合は「整理」ボタンをクリックし、「フォルダーと検索のオプション」を選択します。「表示」タブに移動し、「隠しファイルと隠しフォルダー」セクションで「隠しファイル、隠しフォルダー、および隠しドライブを表示する」にチェックを入れます。
3. Windows 8/10の場合は、直接「表示」タブに移動し、「隠し項目」ボックスにチェックを入れます。
4. 「適用」をクリックし、「OK」をクリックします。

ステップ3：タスクマネージャーで悪意のあるプロセスを停止する

キーボードショートカット「Ctrl + Shift + Esc」でタスクマネージャーを開き、以下の手順に従います。

1. 「プロセス」タブに移動します。
2. 不審なプロセスをすべて探し、それぞれを右クリックして「ファイルの場所を開く」を選択します。
3. タスクマネージャーの画面に戻り、悪意のあるプロセスを終了させます。不審なプロセスを右クリックして「タスクの終了」を選択してください。
4. 完全に除去するには、不審なファイルが保存されているフォルダーに移動し、そこからファイルを削除します。

ステップ4：Windowsレジストリを修復する

Windowsレジストリから不正なエントリを削除するには、以下の手順を実行します。

1. ショートカット「Windows + R」で「ファイル名を指定して実行」ウィンドウを開きます。
2. 検索ボックスに「regedit」と入力し、Enterキーを押します。
3. 「Ctrl + F」ショートカットを押し、検索フィールドに悪意のあるファイル名を入力して該当箇所を特定します。
4. そのファイル名に関連するレジストリキーや値が見つかったら削除します。ただし、正規のキーを誤って削除しないよう十分注意してください。

ステップ5：暗号化されたファイルを復元する

失われたデータを復元する方法はいくつかあります。以下に最も一般的なものを紹介します。

1. 既存のバックアップを利用する

貴重なデータは、外付けドライブやクラウドストレージに定期的にバックアップしておくのが理想的です。そうしていれば、ファイルが破壊・破損・盗難された場合でも迅速に復旧できます。

2. システムの復元機能を利用する

あるいは「システムの復元」ユーティリティを使って、以前の正常な状態に戻すこともできます。この方法は感染前に復元ポイントを作成していた場合にのみ可能で、感染後に追加されたファイルやアプリケーションは復元できない点に注意が必要です。

システムの復元でファイルを復旧する手順は以下のとおりです。

1. Windowsキーを押し、検索ボックスに「system restore（システムの復元）」と入力してEnterキーを押します。
2. 「システムの復元を開く」を選択し、以降の指示に従います。このオプションは、有効な復元ポイントが存在する場合にのみ表示されます。

3. ファイル履歴を利用する

手順は以下のとおりです。

1. 「スタート」を開き、検索フィールドに「restore your files（ファイルを復元）」と入力します。
2. 「ファイル履歴でファイルを復元」というオプションが表示されます。
3. それをクリックし、検索バーにファイル名を入力するか、フォルダーを選択します。
4. 「復元」ボタンをクリックします。

4. 専門的な復元ツールを利用する

専門の復元ソフトウェアなら、攻撃時に消失したデータ、パーティション、写真、文書、300種類以上のファイル形式を復元できます。最も効果的なソリューションのひとつが「Djvu STOP Ransomware Decryptor and Removal」ツールです。

Emsisoftによると、このツールは全被害者の70％以上のデータ復旧を可能にしています。ただし、ウイルスの新変異種が絶えず出現しているため、オフライン鍵でロックされたファイルしか復号できない場合があります。オフライン鍵の抽出には通常、ある程度の時間がかかる点にも留意してください。

暗号化にオフライン鍵とオンライン鍵のどちらが使われたかを見分ける方法

2019年8月以降にSTOPウイルスに感染した場合は、ハッカーがオンライン鍵とオフライン鍵のどちらを使ってファイルを暗号化したのかを確認する必要があります。

最新版のランサムウェアは、攻撃時にコマンド＆コントロール（C&C）サーバーへ接続できる場合はオンライン鍵でファイルを暗号化します。接続できない場合はオフライン鍵が使用され、この鍵は同じ変異種の被害者間で共通しています。

オフライン鍵で暗号化された場合、すべてのデータを即座に復元できる可能性が高くなります。残念ながらオンライン鍵の場合はそうはいきません。どちらの鍵が使われたかを確認するには、以下の手順に従ってください。

1. C: ドライブに移動し、「SystemID」フォルダーを開きます。
2. そのフォルダー内の「PersonalID.txt」ファイルを起動し、記載されているすべての鍵を確認します。
3. いずれかの鍵が「t1」で終わっている場合、一部のデータを復元できる可能性があります。

方法2：STOPウイルスを自動で削除する

手動でのSTOPウイルス駆除には、レジストリやシステムファイルに関する知識が求められます。このサイバー脅威はレジストリを改変したり、新しいキーを作成したり、正規のプロセスに干渉したり、悪意のあるファイルをインストールしたりする可能性があります。そのため、手動削除は被害を完全に元に戻し、ウイルスの痕跡をすべて消し去る最善の方法とは言えません。

このサイバー脅威には、正規のシステムプロセスに似た複数のファイルやコンポーネントが含まれています。誤って重要なエントリを削除すると、コンピュータにさらなる損害を与えかねません。だからこそ、STOPウイルスの駆除には専門的なセキュリティツールの使用をおすすめします。Outbyte Anti-malwareのような信頼性の高いツールをダウンロードし、システムをスキャンしてウイルスを検出・除去しましょう。

ウイルスによってセキュリティソフトが無効化されたりアクセスをブロックされたりした場合は、セーフモードで起動してからアンチウイルスプログラムを実行し、ウイルスを検出・除去してください。STOPウイルスの駆除後は、クラウドストレージから必要なファイルを取り出すか、バックアップファイルを保存した外部ストレージを接続してデータを復元できます。

ランサムウェア攻撃を予防するには？

多くのハッカーは、ランサムウェアがもたらす手っ取り早く簡単な利益に惹かれています。こうした攻撃の厄介な点は、金銭の窃取にとどまらず、ユーザー名やパスワード、個人識別番号、銀行口座情報といった貴重な個人情報も奪われることです。さらに、ネットワークに接続している場合、そのネットワーク上のすべてのデバイスが危険にさらされます。

ランサムウェアはパソコン、タブレット、スマートフォンにも侵入可能です。「iOSデバイスなら安全だ」と思っている方は要注意です。一般的に、すべてのデバイスがランサムウェア攻撃の標的になり得ますが、脆弱性の度合いには差があります。

iOSユーザーは他のデバイスユーザーより比較的安全ですが、デバイスを脱獄（ジェイルブレイク）している場合は例外です。犯罪者がiOS向けランサムウェア攻撃で使う手法のひとつは、iCloudの認証情報を入手してデバイスをロックし、身代金要求メッセージを表示させることです。

STOPウイルスがシステムに侵入するのを待つのではなく、攻撃が増加している今こそ予防を最優先しましょう。ランサムウェア攻撃から身を守るための一般的な対策を紹介します。

1. 重要なファイルのバックアップを作成する

定期的にコンピュータをバックアップし、データ損失のリスクを最小限に抑えましょう。ファイルはオフラインのローカル環境またはクラウドに保存できます。この対策により、情報はハッカーの手の届かない安全な場所に保管され、仮にデバイスがランサムウェアに感染してもファイルを容易に復元できます。

2. ポップアップのインストール要求に応じない

ポップアップは常に敵だと考えましょう。特にインターネット接続中に表示されるポップアップには要注意です。プラグインのダウンロードや更新を求めるポップアップが表示されたら、すぐに閉じてください。それはランサムウェアを仕込もうとする悪意あるソースかもしれません。

3. アンチウイルスを最新の状態に保つ

執拗なランサムウェアから身を守るには、高品質なアンチウイルスプログラムを導入しましょう。新しいランサムウェアの変異種は毎月リリースされているため、アンチウイルスプログラムを常に最新の状態に更新することが不可欠です。

4. リンクをクリックする際は慎重になる

ご存じのとおり、フィッシング詐欺は依然としてハッカーがSTOPウイルスを配布する主要な手段です。メール内のリンクや添付ファイルをクリックする前には、たとえ無害に見えても、必ず送信元を確認しましょう。

5. 海賊版アプリケーションを避ける

PC向けソフトウェアには正当なマーケットプレイスがいくつもありますが、サードパーティのアプリストアはハッカーの温床として悪名高い存在です。アプリをインストールする際は、Apple App Store、Microsoft Store、Google Playストアなど信頼できるソースを利用しましょう。

6. アプリとOSを常に最新の状態に保つ

ランサムウェアはシステムのセキュリティ脆弱性を悪用することが多いため、コンピュータを最新の状態に保つ重要性はいくら強調しても足りません。定期的なパッチ適用とセキュリティアップデートで確実に防御しましょう。

7. 復元ポイントと回復ポイントを作成する

Windowsユーザーの方は、「システムの復元」機能を使って復元ポイントを作成しておきましょう。万が一ウイルスにファイルを暗号化されても、以前の正常な動作時点に戻ることができます。

8. 堅牢なパスワードセキュリティを徹底する

統計によると、一般的なコンピュータユーザーは複数のサイトで同じログイン認証情報を使い回しています。さらに憂慮すべきことに、3分の1のユーザーは著しく弱いパスワードを使用しており、ハッカーにとって侵入の格好の餌食となっています。複数のアカウントごとに異なるパスワードを覚えるのは大変ですが、パスワード管理システムを活用すればこの問題は解決できます。

9. サーバー側で不審なメールアドレスをブロックする

実行ファイル（.exeなど）が添付されたメールをすべて拒否する設定にすれば、不審なメールをフィルタリングできます。さらに、既知のスパマーからのアドレスを拒否するようメールサーバーを設定すれば、防御力は向上します。自社にメールサーバーがなくても、利用中のセキュリティサービスで受信メールのフィルタリングに対応していることが多いでしょう。

また、メールサーバーレベルでウイルス対策を組み込めば、メールセキュリティはさらに強化されます。メールサーバーにアンチウイルスプログラムをインストールし、防護壁として機能させましょう。

10. 脆弱なプラグインをブロックする

サイバー犯罪者はさまざまなプラグインを通じてコンピュータに侵入します。最も多いのはFlashとJavaで、攻撃されやすいうえ、大多数のサイトで標準的に使われているためです。こまめに更新するか、あるいは完全にブロックしてしまうのもひとつの手です。

まとめ

本記事のSTOPウイルス駆除ガイドが、奪われたファイルの復元にお役に立てば幸いです。システムを復元した後も、強力なアンチマルウェアプログラムでシステム全体をスキャンすることをおすすめします。多くの場合、マルウェアの残骸は見つかりませんが、念のため二重チェックしておくに越したことはありません。

さらに、ランサムウェアをコンピュータに侵入させない予防策を徹底することを強くおすすめします。安全なブラウジングを心がけ、常に最新の状態を保ち、ファイルを頻繁にバックアップし、アンチウイルスを有効かつ最新に保ち、信頼できるソースからのみアプリケーションをインストールすることを忘れないでください。