EncSランサムウェア完全対策ガイド｜駆除方法とファイル復元の手順

コンピュータがランサムウェアに感染すると、ファイルを取り戻すことは非常に困難になります。ランサムウェアは主要なファイルだけでなく、バックアップファイルまで暗号化してしまうからです。バックアップが別のドライブ、別のPC、あるいはクラウド上に保存されていない限り、ファイルを復元するには攻撃者が要求する身代金を支払い、正しい復号キーが送られてくることを祈るしかありません。しかし、身代金を支払ったからといって、攻撃者が約束を守ってデータを返してくれる保証は一切ありません。実際、ほとんどの場合、攻撃者は金を受け取った途端に被害者との連絡を絶ちます。

EncSランサムウェアは、現在最も蔓延しているランサムウェアの亜種の一つです。感染したPC上のファイルを暗号化し、ユーザーに対して支払い指示を送りつけます。このマルウェアに感染すると、攻撃者はお金しか関心がないため、多くの場合データ損失という結果に終わります。サイバー犯罪者にとって、ランサムウェアは最も短時間で利益を得られる手段の一つなのです。

実際の身代金要求メモは以下のようなものです：

All of your files are encrypted, to decrypt them write us to email: admin@wsxdn.com

85,140, 70, 244,57,2,95,127,127, 247,116, 217,214,131, 41, 28, 182,15, 33,33, 201,49, 75,121, 247,161, 79,95,149,16,18

4,48,155,148,183,9,239,185,82,88,196,56,244,95,23,111,180,116,116,172, 205,66, 239,86,163, 217,152, 246,7,182.

EncSランサムウェアとは？

EncSランサムウェアは、文書、画像、動画などのデータへのアクセスを妨げるファイル暗号化型マルウェアです。感染すると、ファイル名に「.encS」という拡張子が付加され、ユーザーは自分のファイルを開けなくなります。その後、攻撃者は暗号化されたデータへのアクセスと引き換えに、主にビットコイン（Bitcoin）などの暗号資産で身代金を要求します。

この脅威は文書やファイルを完全にロックし、身代金を支払う以外の選択肢を奪います。EncSランサムウェアは、それ以前に出現した悪名高いマルウェア「DeathHiddenTear」の更新版にあたる亜種です。ファイルが暗号化されると、ユーザーがアクセスできないようにするため、ファイル名に別の拡張子が追加されます。拡張子は「.encS」または「.encL」で、前者の方が多く確認されています。

EncSランサムウェアは、感染した添付ファイル付きのスパムメール、またはOSやインストール済みアプリケーションの既知の脆弱性を悪用することによって拡散されるのが一般的です。

EncSランサムウェアの動作

EncSランサムウェアがシステムに侵入すると、まず画像、動画、その他の重要な文書やファイル（.doc、.docx、.xls、.pdf、.ppt、.pptxなど）をスキャンします。対象ファイルが見つかると、それらを暗号化して拡張子を「.encS」に変更し、ユーザーがファイルを開くこと、コピーすること、アクセスすることを一切許さなくなります。

すべてのファイルの暗号化が完了すると、ランサムウェアは「Decrypt Instructions.txt」という名前の身代金要求メモを作成します。このファイルには、ファイルを復元するための手順が記載されています。さらに、シャドウボリュームコピー（Shadow Volume Copies）をすべて削除し、被害者がシャドウコピーを使ってファイルを復元できないようにします。

追加される拡張子は、元のファイル名の後、またはプライマリ拡張子の後に付けられます。例えば、「Word.docx」が暗号化されると、内容はおろかWordのアイコンも表示されなくなり、ファイル名だけが変更された真っ白なファイルが残ります。そしてファイル名は「Word.docx.encL」または「Word.docx.encS」に変わります。残念ながら、拡張子が変更された時点で、ファイル、文書、画像、動画のプレビューを見ることはできません。どのファイルが特に重要だったのかを判別することさえ難しくなるのです。

このランサムウェアは、恐喝と送金が絡むため対処が非常に厄介です。デバイスに恒久的なダメージを与えるだけでなく、正しい復号キーが手に入る保証がないまま金銭を失う可能性もあります。

「Decrypt Instructions.txt」は、マルウェアがマシン内のさまざまな場所に保存するファイルで、ユーザーが指示を読み、被害を受けたファイルへの対処法を探せるようにするものです。このファイルには暗号化に関する簡単なメッセージも含まれており、被害者に対し、復号の見返りとして支払いを求めるメールを攻撃者宛てに送るよう促しています。連絡先として使われるメールアドレスは通常「admin@wsxdn.com」で、多くの場合、このアドレスが復号キーの支払い送金にも使われます。

EncSランサムウェアの除去方法

デバイスがこのマルウェアに感染した場合、身代金を支払わないでください。サイバー犯罪者の違法行為に資金を提供してしまうことはもちろん、身代金を払ってもファイルが無事に戻ってくる保証はないからです。実際、身代金を支払ったものの、復号後にファイルが破損していたというケースが複数報告されています。暗号化・復号の過程でファイル自体が破損している可能性が高く、復号キーを持っていてもファイルを復元できないことがあるのです。

代わりに、以下の手順に従ってEncSランサムウェアを駆除し、重要なファイルへのアクセスを回復しましょう。

ステップ1：EncSランサムウェアを削除する

最初のステップは、強力なアンチマルウェアソフトを使用して、システムから本体のマルウェアを取り除くことです。このタイプのマルウェアは動作の仕組み上、無料版やトライアル版のアプリでは対応できません。マルウェアを削除したら、PCクリーナーを使って関連ファイルもすべて確実に削除してください。

ステップ2：悪意のあるアプリをアンインストールする

マルウェアがバンドル（同梱）によってインストールされていた場合は、安全のため一緒にインストールされたアプリもアンインストールしましょう。「コントロールパネル」＞「プログラムと機能」からアンインストールできます。一覧から不審なアプリを探して「アンインストール」をクリックしてください。感染が疑われるアプリはすべて同じ手順で削除します。

ステップ3：ファイルを復号する

マルウェアを完全に駆除したら、次はファイルの復号に進みます。まずはKasperskyなどが公開している一般的な復号ツールを試してみましょう。Symantec、McAfee、Trend Micro、Cisco Systems、Emsisoftなども独自の復号ツールを提供しています。うまくいかない場合は、このランサムウェアの旧バージョンの復号に成功した実績があるMichael Gillespie氏に連絡してみるのも一つの方法です。

まとめ

EncSランサムウェアは、重要なファイルすべてを人質に取る厄介なマルウェアです。バックアップも含めてすべて暗号化されるため、シャドウコピーを使ってファイルを復元することはできません。万が一感染してしまったら、身代金を払うことは考えず、ランサムウェアを無効化して駆除し、上記の手順に従ってファイルの復元を目指しましょう。