Necursボットネットとは?感染の仕組みから駆除・予防策まで徹底解説

Necurs(ネクルス)ボットネットは、これまでに確認された中で最も悪名高いマルウェアボットネットの一つです。2020年3月、Microsoftが主導した国際的な共同作戦によって無力化されるまで、世界中の数百万台ものコンピュータに感染を広げていたと考えられています。

Microsoftがこの偉業を成し遂げるまでには実に8年の歳月を要し、35か国のサイバーセキュリティパートナーとの連携が不可欠でした。

Necursボットネットの無効化により、背後にいるサイバー犯罪者たちは、その広大なインフラを利用したサイバー攻撃の実行や、他のマルウェア――特にLockyランサムウェア――の配布ができなくなりました。

Necursボットネットはロシアのサイバー犯罪グループによって運営されていたとされています。その長い支配の時代において、このボットネットは株価操縦(パンプ・アンド・ダンプ)詐欺、「ロシア人デート」詐欺、偽医薬品販売詐欺など、幅広いサイバー犯罪の実行に悪用されてきました。また、金融情報や認証情報、アカウントの窃取、暗号資産マイニングへの利用、さらにはDDoS(分散型サービス拒否)攻撃にも関与していたことが知られています。

Necursボットネットにできること

Necursボットネットの脅威を理解するには、まず「ボットネットとは何か」を知る必要があります。ボットネットとは、連携して動作できるコンピュータのネットワークのことです。こうしたネットワークがサイバー犯罪者の手に渡れば、サイバー攻撃の実行、ネットワークの機能不全、機密データの窃取、さらにはランサムウェアや他のボットネットを含むマルウェアのインストールなどに悪用されかねません。

迷惑メールの脅威エコシステムにおいて、Necursボットネットは最大級のネットワークの一つであり、地球上のほぼすべての国に被害者が存在します。Microsoftによると、Necursに感染した1台のコンピュータだけで、合計380万通の迷惑メールを4,060万人以上の潜在的被害者に送信できるとのことです。

さらに、ボットネットの運営者は感染したコンピュータを「ボット貸し(bots-for-hire)」スキームで販売しており、他の攻撃者が企業スパイなどの悪事を働くための手段として提供しています。

これほどの能力を持つNecursボットネットは、地球上のあらゆるコンピュータにとって依然として重大な脅威であり続けていました。Microsoftがその長きにわたる悪質な活動に終止符を打つ措置を講じたのは、まさに必然といえるでしょう。

Necursボットネットの駆除方法

Microsoftやその他の組織の努力のおかげで、現在ではNecursボットネットをコンピュータから駆除するのは非常に簡単になっています。というのも、そのバイナリシグネチャはすでに世界中のサイバーセキュリティ専門家に共有されているからです。したがって、Necursボットネットを駆除するために必要なのは、Outbyte Anti-Malwareのような強力なアンチマルウェアツールだけです。

アンチマルウェアツールでマルウェアとその依存ファイルを確実に駆除するには、コンピュータを「セーフモードとネットワーク」で起動することが重要です。手順は以下の通りです。

1. スタートボタンをクリックするか、キーボードのWindowsキーを押します。
2. Shiftキーを押しながら電源をクリックし、再起動を選択します。
3. 表示されるオプションの選択画面で、トラブルシューティング > 詳細オプション > スタートアップ設定 > 再起動を選択します。
4. コンピュータが再起動したら、F5キーを押してセーフモードとネットワークで起動します。

セーフモードとは、Windowsの基本アプリと設定のみを実行する最小限の状態であり、アプリや設定の問題をトラブルシューティングするのに最適な環境です。

アンチマルウェアツールでのスキャンが完了した後も、PC修復ツールでクリーンアップを行うことをおすすめします。修復ツールは、ジャンクファイルの削除、ブラウザ履歴の消去、パフォーマンスの最適化、破損したレジストリエントリの修復などに役立ちます。Macをお使いの場合は、PC修復ツールに相当するMac修復アプリをダウンロードするとよいでしょう。

Windowsの回復オプション

WindowsまたはMacの回復オプションを使用するのに最適なタイミングは、Necursボットネットのようなマルウェアをデバイスから駆除した直後です。回復オプションを使えば、コンピュータをリフレッシュしたり、問題が生じているシステムファイル、設定、アプリへの変更を元に戻したりできます。

システムの復元

Windowsでは、最初に検討すべき回復オプションが「システムの復元」です。システムの復元では、復元ポイント以降に行われたWindowsアプリや設定への変更を取り消せます。復元ポイントとは、特定の時点におけるOSやWindows構成の「スナップショット」のようなものです。

コンピュータに復元ポイントが作成されているなら、今こそそれを活用して、過去の正常な動作状態へ戻す絶好のタイミングです。Windows 10/11デバイスでシステムの復元にアクセスする手順は以下の通りです。

1. 検索ボックスに「復元ポイントの作成」と入力します。
2. 検索結果の最初の項目を選択して、システムのプロパティを開きます。
3. システムのプロパティウィンドウでシステムの保護タブに移動し、システムの復元を選択します。
4. 復元ポイントを選択して続行します。
5. 影響を受けるプログラムのスキャンをクリックすると、復元処理の完了後に利用できなくなるプログラムを事前に確認できます。
6. 画面の指示に従って処理を完了させます。

もう一つのWindows回復オプションとして、「PCのリフレッシュ」があります。このオプションでは、個人用ファイルや設定を保持したままWindowsを再インストールできます。

多くの場合、Windowsデバイスのリフレッシュは自動的に完了します。ただし、場合によっては回復メディア(DVDやUSBメモリ)の挿入を求められることがあるため、この手順を実行する前にあらかじめ準備しておきましょう。

Windows 10/11デバイスをリフレッシュする手順は以下の通りです。

1. キーボードのWindowsキーを押し、設定を開きます。
2. 更新とセキュリティの下にある回復を選択します。
3. ファイルに影響を与えずにPCをリフレッシュするの下にある作業を開始するをクリックします。
4. 画面の指示に従って処理を完了させます。

Windowsアップデート

上記の作業がすべて完了したら、最後に重要なステップとしてWindowsデバイスを最新の状態に更新しましょう。MicrosoftがNecursボットネットを壊滅できたのは、ボットネットがコンピュータに感染する際に悪用していた脆弱性をふさぐ一連のセキュリティ更新プログラムを配信したからです。これらのアップデートを適用しないままでは、二次感染のリスクが残ったままになります。

Windows Updateには、設定 > 更新とセキュリティ > Windows Updateからアクセスできます。

Necursボットネットによるランサムウェア感染を防ぐには

Necursボットネットは主に悪意のあるメール添付ファイルを通じて拡散します。そのため、見覚えのない差出人からのメールのリンクや添付ファイルを安易に開かないようにするだけでも、感染リスクを大幅に減らせます。また、このマルウェアは悪意のあるウェブサイト、悪質な広告(マル広告)、偽のダウンロードページからも拡散するため、これらにも十分注意してください。

以上がNecursボットネットについての解説です。駆除方法に関するご質問、ご提案、コメントがあれば、下記のコメント欄でお気軽にお寄せください。