CryptoWall(クリプトウォール)ランサムウェアとは?仕組み・駆除方法・対策を徹底解説

ランサムウェア攻撃は、今なお世界中のサイバー犯罪者にとって大きなビジネスとなっており、個人、政府機関、企業に年間数十億ドル規模の損害をもたらしているとされています。

本記事では、2014年以降PCの世界で猛威を振るい続けているランサムウェアの一種「CryptoWall(クリプトウォール)」について、その仕組みから駆除方法、予防策まで詳しく解説します。

CryptoWallランサムウェアとは?

CryptoWallは、コンピュータに感染してファイルを暗号化し、復号と引き換えに身代金を要求するトロイの木馬型マルウェアです。ソースコードなど多くの共通点を持つことから、CryptoDefense、BitCrypt、CryptoLocker、Critroniと同じランサムウェアファミリーに属すると広く考えられています。

CryptoWallはすべてのバージョンのWindows OSを標的としており、主に感染したメール、エクスプロイトキット、悪意のある広告(マルバタイジング)、汚染されたウェブサイトを通じて拡散します。

CryptoWallランサムウェアは何をするのか?

感染したコンピュータに入り込むと、このマルウェアはWindowsの起動時に新しいレジストリエントリを実行します。この初期段階の後、サイバー犯罪者へリモートアクセス権限を渡し、あらかじめ決められたファイル形式を暗号化していきます。暗号化の対象となるファイル形式の例としては、.doc、.png、.pptx、.xlsm、.docx、.xls、.pdf、.jpg、.xlsbなどが挙げられます。

もう一つの手法として、マルウェアは被害者のPCで稼働しているバージョンに応じて、Windowsのexplorer.exeファイルにコードを注入します。この改変されたexplorer.exeファイルを通じて、デバイス本体にマルウェアがインストールされる仕組みです。その後、シャドウコピーを削除し、Windowsサービスを無効化し、さらに注入されたモジュールによってsvchost.exeプロセスを乗っ取ります。ファイルの暗号化が完了すると、ビットコインで約1,000ドル相当の身代金を要求してきます。ファイルを復元できることの証明として、マルウェアの作者が一部のファイルを無料で復号してみせることさえあるのです。

CryptoWallランサムウェアの駆除方法

CryptoWallランサムウェアへの対処法を考える際、身代金を支払うという選択肢は決して頭に浮かべてはいけません。CryptoWallの背後にいるサイバー犯罪者が「あなたのような人や組織は喜んでお金を払ってくれる」と信じれば、さらなる攻撃を助長するだけです。

さらに、一度協力する意思を見せてしまえば、将来再び標的にされる可能性も否定できません。

では、身代金を支払う以外に、CryptoWallランサムウェアを駆除するにはどうすればよいのでしょうか?

Outbyte Anti-Malwareのような信頼できるアンチマルウェアソリューションを使えば、CryptoWallおよびそれを助けるその他のマルウェアを比較的簡単に取り除くことができます。アンチマルウェアツールを信頼すべき理由は、このマルウェアが長期間存在しているため、Microsoftがすでにセキュリティパートナーへ対処方法を通知しているからです。

アンチウイルスがCryptoWallに対して効果を発揮するには、PCを「ネットワークありのセーフモード」で起動する必要があります。通常どおりログインすると、マルウェアが即座に再起動してしまうためです。

以下は、画面が真っ黒な状態からWindows PCをネットワークありのセーフモードで起動する手順です。

1. 電源ボタンを押してPCの電源を切ります。
2. もう一度電源ボタンを押してPCを起動します。
3. Windows回復環境(winRE)が表示されるまで、電源のオン/オフを繰り返します。
4. winREに入るとオプションの選択画面が表示されるので、トラブルシューティング > 詳細オプション > スタートアップ設定 > 再起動を選択します。
5. デバイスが再起動したら、F5キーまたは5キーを押してネットワークありのセーフモードに入ります。

ネットワークありのセーフモードは、ウイルスを隔離し、完全に除去するために役立ちます。

システムの復元を利用する

PCに復元ポイントが作成されている場合は、CryptoWallランサムウェアを駆除した後にシステムの復元を行うのが最善です。そうすることで、ランサムウェアを動かしていたプログラムやファイルが確実に残っていない状態にできます。

システムの復元へのアクセス方法は以下の通りです。

1. Windowsの検索ボックスに「復元ポイントの作成」と入力します。
2. 検索結果の最初の項目を選択します。
3. システムのプロパティウィンドウでシステム保護タブを開き、システムの復元を選択します。
4. 利用可能な復元ポイントの一覧から、任意の復元ポイントを選びます。
5. 画面の指示に従って処理を完了させます。

なお、システムの復元は、あらかじめ復元ポイントが作成されている場合にのみ機能する点に注意してください。

PCをリフレッシュ(初期化)する

PCのリフレッシュは、新しいWindowsをクリーンインストールするのに近い効果があります。この回復オプションでは通常、ファイルを保持するかどうかを選択できますが、ファイルはすでに暗号化されているため、保持する意味はありません。

Windows 10/11のPCをリフレッシュする手順は以下の通りです。

1. スタートメニューから設定を開きます。
2. Windows 10の場合は更新とセキュリティ > 回復、Windows 11の場合はシステム > 回復を選択します。
3. このPCをリセットの項目で開始するをクリックします。
4. 画面の指示に従って処理を完了させます。

念のため繰り返しますが、この場合ファイルはアクセス不能な状態のため、保持を選ぶ必要はありません。

CryptoWallランサムウェアからPCを守る方法

· OSやソフトウェアを常に最新の状態に保つ

マルウェアはソフトウェアの脆弱性を悪用してコンピュータに侵入しようとします。デバイス上のソフトウェアの更新を怠っていると、潜在的な攻撃に無防備な状態を晒すことになります。

· ファイアウォールを活用する

ファイアウォールは、異常なネットワーク通信を検知して警告してくれます。CryptoWallのようなマルウェアは、まさにその種の通信を利用してサイバー犯罪者にリモートアクセス権を渡すのです。

· メールの送信元の正当性を確認する

見覚えのない送信元からメールを受け取った場合は、焦らず開封せず、そのメールが本物かどうかを慎重に見極めましょう。

· ファイルを定期的にバックアップする

ランサムウェアが商売として成り立っている最大の理由は、ほとんどの人がファイルのバックアップを持っていないからです。バックアップがあれば、ランサムウェア攻撃によるダメージは最小限に抑えられます。攻撃のリスクがどれほど小さく感じても、最悪の事態に備えて日頃からファイルをバックアップする習慣をつけましょう。