Nodersok(ノーダーソック)マルウェアとは?感染症状から駆除・予防策まで徹底解説

2019年、Microsoft Defender ATPチームによって、新しいタイプの「ファイルレス型」マルウェアが発見されました。Microsoftでは「Nodersok(ノーダーソック)」、Ciscoでは「Divergent」と呼ばれるこのマルウェアは、感染したPCにNode.jsフレームワークのコピーをダウンロード・インストールし、そのコンピュータをプロキシとして乗っ取ることで、クリック詐欺(クリックフラウド)の実行を支援する悪質な脅威です。

Nodersokマルウェアは主に悪意のある広告を通じて拡散されます。ユーザーが広告をクリックすると、HTMLアプリケーション(.htaファイル)が強制的にダウンロードされ、MS Excel、PowerShellスクリプト、JavaScriptを巻き込んだ多段階の感染プロセスが開始されます。最終的にPowerShellスクリプトがNodersok本体のダウンロードを担う仕組みです。

Nodersokマルウェアは何をするのか?

Nodersokマルウェアは複数のコンポーネントで構成されており、それぞれが感染プロセスにおいて重要な役割を果たします。

最初のコンポーネントはPowerShellモジュールです。これはWindows DefenderやWindows Updateなど、あらゆるマルウェア対策機能を無効化するという重要な役割を担います。次のコンポーネントはマルウェアの権限をSYSTEMレベルまで昇格させます。この戦略により、Nodersokは被害者のコンピュータ上で自由に動作できるようになります。

残りの2つのコンポーネントは「Node.js」と「Windows Packet Divert(WinDivert)」です。これら自体は多くのWindows PCに存在する正当なツールであり、単体では悪意はありません。しかしNodersokはこれらを悪用し、ネットワークパケットのキャプチャや操作、Webサーバー上でのJavaScript実行を行います。

こうした攻撃手法により、このマルウェアは感染したコンピュータを「ゾンビ化」し、サイバー犯罪者に前例のないレベルのアクセス権と制御権を提供する中継サーバー(プロキシ)へと変えてしまうのです。

Nodersokウイルスに感染しているか確認する方法

Nodersokマルウェアは非常にステルス性が高いため、検出は容易ではありません。しかし、注意すべき兆候はいくつかあります。

• PCのパフォーマンス低下
• 動作の不安定さや応答なし状態の頻発
• 心当たりのないネットワーク通信量の急増

また、タスクマネージャーで実行中のプロセスを監視することも有効です。不審なプロセスが大量の計算リソースを消費している場合は、右クリックで「ファイルの場所を開く」を選択し、その所在を確認してみましょう。

Nodersokマルウェアの駆除方法

Nodersokマルウェアの駆除は比較的簡単です。Microsoftはすでにこの脅威を特定し、マルウェアが悪用する脆弱性へのパッチを公開しています。さらに、すべてのセキュリティパートナー(アンチウイルスベンダー)にも情報が共有されているため、Outbyte Antivirusのような強力なマルウェア対策ソフトを導入すれば対処できます。同時に、最新のWindowsアップデートを適用することも重要です。

ただし、Windowsアップデートは将来の感染を防ぐ効果はあっても、すでに活動中の感染を除去することはできません。そのため、「デバイスの更新」と「フルスキャンによる駆除」を同時に行う必要があります。

マルウェア対策ソフトを使用する際は、Windowsデバイスをセーフモードで起動するのがおすすめです。セーフモードとは、デフォルトの設定とアプリのみで動作する最小構成のWindowsのことです。Windows標準アプリ以外をすべて分離するため、パフォーマンス問題のトラブルシューティングが格段に容易になります。

Windows 10/11でセーフモード(ネットワークあり)に移行する手順は以下の通りです。

1. Windowsのスタートボタンを押し、設定 > 更新とセキュリティ > 回復に移動します。
2. 高度なスタートアップの項目で、今すぐ再起動を選択します。
3. 再起動後に表示されるオプションの選択画面で、トラブルシューティング > 詳細オプション > スタートアップ設定 > 再起動を選びます。
4. 再起動後、F5キーを押してセーフモードとネットワークを選択します。

ネットワーク機能付きのセーフモードで起動できれば、インターネット経由でマルウェア対策ソフトをダウンロードできます。

また、PC修復ツールもNodersokマルウェアの駆除に役立つユーティリティです。PC上のネットワークアクティビティを監視しやすくなり、通信量が異常に急増した場合には、何らかの異常が起きている兆候だと判断できます。

コンピュータのクリーンアップとスキャンが完了した後でも、復元ツールを使ってNodersokマルウェアによる脅威が完全に排除されたことを確認しましょう。

システムの復元

お使いのコンピュータに復元ポイントが作成されている場合は、それを利用してWindowsアプリ、設定、システムファイル、構成に対する問題のある変更を元に戻せます。

システムの復元を実行する手順は以下の通りです。

1. 検索ボックスに「復元ポイントの作成」と入力します。
2. 検索結果の先頭項目を選択します。
3. システムのプロパティウィンドウでシステム保護タブを開き、システムの復元をクリックします。
4. 復元ポイントを選択します。
5. 画面の指示に従ってプロセスを完了させます。

システムの復元の途中で、復元完了後に利用できなくなるアプリ、設定、更新プログラムの一覧が表示されます。Nodersok感染の発端となったHTAファイルがその一覧に含まれていることを必ず確認してください。

もう一つの復旧手段として検討したいのが「PCの初期化(リフレッシュ)」です。この機能を使えば、個人ファイルや設定を保持したままWindowsを再インストールできます。

Windows 10/11 PCをリフレッシュする手順:

1. Windowsのスタートボタンを押し、設定 > PC設定の変更に移動します。
2. 更新と回復をクリックし、回復を選択します。
3. ファイルを影響を受けずにPCを更新するの項目で、作業を開始するを選択します。
4. 画面の指示に従ってプロセスを完了させます。

Nodersokマルウェアからコンピュータを守る方法

Nodersokマルウェアは最盛期には、米国とヨーロッパで数百万台ものデバイスに感染しました。その主な侵入経路は悪意のある広告です。そのため、安全でないサイトへのアクセスを避け、見知らぬ送信元からのメール添付ファイルをダウンロードしないことが、感染防止の基本となります。

また、マルウェア対策ツールを常備しておくことも重要です。Nodersok自体は駆除しやすいマルウェアですが、世の中には数多くのマルウェアの脅威が存在しており、いつ自分のPCが標的になるかわかりません。

Nodersokマルウェアについてご質問、ご提案、ご意見などがありましたら、下のコメント欄でお気軽にお寄せください。