Sage(セージ)ランサムウェアとは?感染時の対処法と駆除・予防策を徹底解説

ランサムウェアとは、コンピューター上のファイルやフォルダーを暗号化して「人質」に取る悪意のあるプログラムです。サイバー犯罪者は、被害者が自分のファイルに再びアクセスできるようにする見返りとして、通常はビットコインで身代金の支払いを要求します。

現在、ランサムウェア攻撃は発生頻度が非常に高く、サイバーセキュリティ上の重大な脅威となっています。「14秒に1回、どこかでランサムウェア攻撃が発生している」という報告さえあるほどです。さらに懸念されるのは、新たな亜種が次々と登場し続けていることです。そのため、サイバーセキュリティの専門家でさえ、絶えず進化する脅威への対応に追われているのが実情です。

この記事では、そうしたランサムウェアの一種である「Sage(セージ)」について詳しく解説します。

Sageランサムウェアは何をするのか?

Sageランサムウェアは、すでに活動を終えたTeslaCryptランサムウェアファミリーから派生したマルウェアです。他のランサムウェアと同様に、Sageは被害者のコンピューターをスキャンして特定のファイル形式を検出し、強力な暗号化アルゴリズムでそれらを暗号化します。その後、次のような身代金要求メモを残します。

ATTENTION!
the Sage encrypted all your files!
—————————–
All your files, images, videos, and databases were encrypted and made inacessible by software known as the Sage.
You have no chance to restore the files without our help.
But if you follow our instructions files can be restored easily.
Instructions on how to get your files back are stored on every disk,
in your documents and on your desktop.
Look for files !Recovery_2g0zr9.txt and !Recovery_2g0zr9.html
If you can't find this files, use the program 'Tor Browser'(you can find it in Google)
to access the (onion)Web site https://qbxeaekvg7o3lxnn.onion to get your instructions'

Sageがここまで進行すると、暗号化されたファイルを復元することは事実上不可能です。というのも、ファイルは軍用レベルとも呼ばれるAES-256ビットという強力な暗号化規格でロックされているからです。

感染してしまった場合、通常530ドル相当のビットコインを支払うことも考えられますが、これは決しておすすめできません。サイバー犯罪者は約束を守ってくれると信頼できる相手ではありません。仮に支払って復元できたとしても、「身代金を払う意思がある」ということを証明してしまった以上、今後も標的にされ続けるリスクがあるのです。

ランサムウェア攻撃を受けた後に必要なのは、Sageランサムウェアをできるだけ早く除去することです。

Sageランサムウェアの駆除方法

TeslaCryptファミリーが活動を終えた理由の一つは、サイバーセキュリティ研究者たちがその仕組みを解明し、アンチマルウェアソフトウェアがこれらを検出・阻止できるようになったことにあります。つまり、Sageランサムウェアを駆除するために必要なのは、Outbyte Anti-Malwareのような強力なアンチマルウェアソフトだけです。包括的なスキャンを実行し、Sageマルウェアのシグネチャや挙動を検出します。

Sageランサムウェアのように深刻なマルウェアの脅威に対しては、パソコンを「セーフモードとネットワーク」で起動することをおすすめします。

セーフモードでは、Windows OSに付属するもの以外のアプリケーションの自動起動が防止されます。また、ネットワークオプションを選択すれば、インターネットやその他のネットワークリソースにアクセスできます。Windows 10/11で「セーフモードとネットワーク」を起動する手順は以下の通りです。

1. Windowsのサインイン画面でShiftキーを押しながら「再起動」をクリックします。
2. Windows 10/11が再起動し、「オプションの選択」画面が表示されたら、「トラブルシューティング」を選択します。
3. 「詳細オプション」→「スタートアップ設定」→「再起動」の順に進みます。
4. 5またはF5キーを押して、「セーフモードとネットワーク」で起動します。

セーフモードとネットワークで起動できたら、そこで初めてアンチマルウェアソフトを起動してください。デバイスにインストールされていない場合は、インターネット経由でダウンロードしましょう。

Sageランサムウェアとの戦いにもう一つ役立つのが、PC修復ツールです。修復ツールはシステム全体をスキャンし、ジャンクファイルの検出・削除、動作速度低下の原因解消、破損または欠落したレジストリエントリの修復を行います。つまり、アンチマルウェアソフトがウイルスを駆除するのに対し、PC修復ツールはコンピューターの健康を取り戻す役割を担うのです。

Windowsの回復ツールを使う方法

Outbyte Antivirusなどの有料ソフトを購入できない場合は、どうすればよいのでしょうか?

Windows OSには、コンピューターへの有害な変更を元に戻すための機能が複数用意されています。穏当な「システムの復元」から、より抜本的な「インストールメディアを使ったWindowsの再インストール」まで様々です。ここでは、その中から代表的な2つの方法を紹介します。

システムの復元

「システムの復元」は、ある時点でのWindows OSの状態を記録した「復元ポイント」と呼ばれるスナップショットを利用する回復機能です。

この「スナップショット」が存在していれば、それを使ってコンピューターを以前の正常な状態に戻すことができます。「システムの復元」へのアクセスは簡単で、前述の手順でセーフモードとネットワークを起動する過程で、「詳細オプション」の下に「システムの復元」という項目が表示されていたのを目にした方もいるかもしれません。

このオプションをクリックすると、コンピューター上で利用可能な復元ポイントの一覧が表示されます。いずれかを選択して、システムの復元プロセスを進めてください。

多くの場面で役立つ機能ですが、「システムの復元」には限界もあります。最大の制約は、復元ポイントが事前に作成されており、かつ問題発生前の時点のものでなければならないことです。また、一部のマルウェアは、被害者がファイルを復旧できないようにするため、復元ポイント自体を削除することが知られています。

このPCを初期状态に戻す(PCのリセット)

「このPCを初期状態に戻す」機能を使えば、デバイスを工場出荷時の状態にリセットできます。Windows 10/11をリセットする手順は以下の通りです。

1. Windows + Iキーを押して、設定アプリを開きます。
2. 「PC設定の変更」→「更新と回復」→「回復」へ移動します。
3. 「すべて削除する」オプションを選択してPCをリセットします。Sageランサムウェアの場合、ファイルは二度と復元できないため、この選択が合理的です。
4. 「開始する」をクリックします。
5. 以降は、画面の指示に従って操作を進めます。

ウイルス対策ソフトがなくても、PCをリセットすればすべてのマルウェアをコンピューターから除去できます。あとは、二度と感染しないための対策を確実に行うだけです。

ランサムウェアへの感染を防ぐ方法

マルウェア感染を完全に防ぐことは、サイバーセキュリティの第一人者にとっても容易なことではありませんが、基本的な安全ルールを守れば、リスクを大幅に減らすことは可能です。特に重要な対策を以下にまとめました。

• デバイスにアンチマルウェアソフトをインストールし、可能であれば毎日コンピューターをスキャンする。
• セキュリティ証明書がないサイトや、広告が多すぎるサイトへのアクセスを避ける。
• メッセージ、メール、セキュリティ警告に応答する前に、その真偽を必ず確認する。
• 最も重要なファイルのバックアップを取っておく。仮に深刻なランサムウェア攻撃の被害に遭っても、ファイルを復旧する手段が残る。
• 最後に、Cookie、閲覧履歴、不要になったアプリやファイルなどを削除して、常にコンピューターをクリーンな状態に保つ。