コロナウイルス型ランサムウェアとは?仕組みと削除方法を徹底解説

世界が新型コロナウイルスとの闘いに追われる中、サイバー犯罪者たちは人々の情報への渇望につけ込み、フィッシングキャンペーンや悪意あるウェブサイトを通じてマルウェアを拡散しています。

コロナウイルスをテーマにしたサイバー攻撃は数多く存在し、攻撃者の目的に応じてさまざまな形態をとります。中には「コロナウイルスマップ」を表示すると称する偽のAndroid、Windows、iOSアプリを作成するケースもあれば、ウイルスの感染状況に関する最新ニュースを提供すると謳うアプリもあります。こうした偽アプリは被害者のデータを暗号化し、約45ドルの身代金を要求するのです。

CoronaVirusランサムウェアの主な配布元は coronavirusapp[.]site です。被害者がこのサイトにアクセスすると、COVID-19の追跡・統計情報(ヒートマップ表示を含む)を提供するというコロナウイルス追跡アプリのダウンロードを促されます。

コロナウイルス型ランサムウェアは何をするのか?

被害者が偽のコロナウイルスアプリをダウンロードすると、実際には悪意のあるファイル「WSHSetup.exe」がインストールされます。このファイルには、悪名高いKPotステーラーをはじめとする他のマルウェアをダウンロードするよう事前にプログラムされています。KPot(Khalesiとしても知られています)は情報窃取型マルウェアであり、パスワード、Cookie、決済情報、ユーザー情報、システム情報、位置情報など、入手可能なあらゆる有用なデータを探し出します。

KPotステーラーのダウンロード後、「WSHSetup.exe」はコロナウイルス型ランサムウェアを実行します。ランサムウェアは被害者のデータを暗号化し、45ドルまたは0.008ビットコイン相当の身代金を要求します。

Windows PCへの感染に成功すると、ランサムウェアは被害者の全ファイルを暗号化し、シャドウコピーのバックアップを削除した上で、ファイル名を admin@wsxdn.com___%file_name%.%ext% に変更します。さらに、Cドライブの名前を「CoronaVirus C」に書き換えることもあります。

身代金要求メモを表示するため、このマルウェアは HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager の BootExecute キーを改変します。その結果、身代金要求メモはWindows OSが起動するまでの約15分間、画面に表示され続けます。

45ドルという身代金額は、通常のランサムウェアの支払額が400ドル以上であることを考えると、かなり異例です。おそらくマルウェアの作成者は、少しでも多くの人に身代金を支払わせたいと考えているのでしょう。

コロナウイルス型ランサムウェアの削除方法

まず最初に考えるべきは「身代金を支払うべきか?」という点です。45ドルなら大した金額ではないと思えるかもしれません。しかし、当ブログでは身代金の条件がどれだけ寛容であっても支払わないよう繰り返し警告してきました。コロナ禍のような深刻な状況から利益を得ることを許せば、彼らは次の災害時にもためらわず付け込んでくるでしょう。つまり、この悪循環を早く断ち切ることが、すべての人にとって有益なのです。加えて、マルウェアの作成者をそもそも信用することはできません。彼らの動機は最初から誠実なものではないのですから。

では、実際にどうやってコロナウイルス型ランサムウェアを駆除すればよいのでしょうか。そのためには、Outbyte Anti-Malware のような強力なアンチマルウェアソリューションが必要です。デバイスのディープクリーニングを実行し、すべてのマルウェアを検出・削除することができます。

Outbyte Antivirus を含むほとんどのアンチマルウェアソフトは、「ネットワークありのセーフモード」でPCを起動した際に最も効果的に機能します。ネットワーク機能があることでインターネットにアクセスでき、ユーティリティアプリのダウンロードや、ランサムウェア駆除に関するさらなるサポートを受けることが可能になります。

Windows 10/11をネットワークありのセーフモードで起動する手順:

1. Windows 10/11デバイスからサインアウトし、サインイン画面が表示されたら、キーボードの Shift キーを押しながら 電源 ボタンをタップします。
2. デバイスの再起動後に表示される 「オプションの選択」 画面で、トラブルシューティング を選択します。
3. トラブルシューティングのオプションから、詳細オプション > スタートアップ設定 を選択します。
4. 再起動 をクリックします。
5. 再起動後、矢印キーで 「セーフモードとネットワーク」 を選択します。または F5 キーを押しても構いません。

ランサムウェア駆除の次のステップとして、PC修復ツールを使用してジャンクファイルや破損したレジストリエラーを一掃し、スタートアップ項目を最適化しましょう。

その他の削除方法

アンチマルウェアソフトの使用を強く推奨しますが、それが唯一の選択肢というわけではありません。手動でウイルスを特定して排除する方法もあります。ここでは2つの方法を紹介します。まず1つ目は、タスクマネージャーを使う方法です。

1. キーボードの Ctrl、Alt、Delete キーを同時に押して、Windowsのセキュリティオプション画面を開きます。
2. タスクマネージャー を選択します。
3. プロセス タブを開き、「WSHSetup.exe」というプロセスを探します。
4. 右クリックして タスクの終了 を選択します。
5. 再度右クリックし、ファイルの場所を開く を選択します。
6. そのファイルの場所へ移動し、関連するすべてのファイルとフォルダーを削除します。
7. 続いて ダウンロード フォルダーを開き、元のインストーラーを削除します。

ウイルスがPCから完全に除去されたことを確認するには、システムの復元や「このPCを初期状態に戻す」などのWindows回復ツールを使用しましょう。

COVID-19関連の詐欺を避けるには

今後、COVID-19関連の詐欺の被害に遭わないためには、BBC、医学誌、評判の高い大学など、信頼できる情報源から最新情報を入手することを心がけましょう。

また、ウイルスの性質、感染経路、リスク要因について積極的に学ぶことも重要です。ウイルスに関する知識が深まるほど、詐欺に引っかかる可能性はぐっと下がります。