フォボス(Phobos)ランサムウェアとは?感染経路・被害内容と対策を徹底解説

フォボス(Phobos)は、AES 256ビット暗号化方式を使用してユーザーのファイルを暗号化するランサムウェアの一種です。ファイルを暗号化した後、被害者に対してビットコインでの身代金支払いを要求します。

フォボスが初めて確認されたのは2019年で、Dharma(ダルマ)ランサムウェアを仕掛けたのと同じハッカーグループによるものとされています。主に、不正アクセスされたリモートデスクトップ接続を通じて拡散するのが特徴です。

フォボスは実行ファイル(.exe)を含むさまざまな種類のファイルを暗号化します。通常、暗号化されたファイルには攻撃者のメールアドレスも付加されます。暗号化後のファイル名の一般的なパターンは以下のとおりです。
<元のファイル名>.id[<被害者ID>-<バージョンID>][<攻撃者のメールアドレス>].<追加された拡張子>

フォボスマルウェアは何をするのか?

Dharmaと同様に、フォボスはセキュリティ設定が不十分なRDP(Remote Desktop Protocol)ポートの脆弱性を悪用してネットワークに侵入し、ランサムウェア攻撃を実行します。

.phobosという拡張子でファイルを暗号化した後、readme.txtファイルで通知されたダークウェブ上のアドレス宛てに、ビットコインで身代金を支払うよう要求します。これまでに、ファイル復旧のために3,000ドルもの身代金を要求された被害者もいます。

暗号化を実行する前に、マルウェアは暗号化対象のファイルへのアクセスを妨げる可能性のあるプロセスを強制終了させます。以下は、強制終了されるプロセスの完全なリストです。

• msftesql.exe
• sqlagent.exe
• sqlbrowser.exe
• sqlservr.exe
• sqlwriter.exe / oracle.exe
• ocssd.exe
• dbsnmp.exe
• synctime.exe
• agntsvc.exe
• mydesktopqos.exe
• isqlplussvc.exe
• xfssvccon.exe
• mydesktopservice.exe
• ocautoupds.exe
• encsvc.exe
• firefoxconfig.exe
• tbirdconfig.exe
• ocomm.exe
• mysqld.exe
• mysqld-nt.exe
• mysqld-opt.exe
• dbeng50.exe
• sqbcoreservice.exe
• excel.exe
• infopath.exe
• msaccess.exe
• mspub.exe
• onenote.exe
• outlook.exe
• powerpnt.exe
• steam.exe
• thebat.exe
• thebat64.exe
• thunderbird.exe
• visio.exe
• winword.exe
• wordpad.exe

次の画像は、フォボスマルウェアのコードの断片と、プロセスを強制終了させる仕組みを示しています。

コードが異なるにもかかわらず、Dharmaとフォボスが同じグループによって作成されたと判断できた理由の一つは、両者が同じ身代金要求文(ランサムノート)を使用している点です。書体もテキストの内容も同一であることが、その根拠となっています。

フォボスマルウェアの削除方法

フォボスマルウェアに対処する最善の方法は、信頼できるアンチマルウェアソリューションを導入し、サイバー犯罪者との接触を避けることです。確かに身代金を支払えば、ファイルを失う苦痛から一時的に解放されるかもしれませんが、それは理想的な解決策ではありません。

サイバー犯罪者が約束どおり復号鍵を渡す保証はありません。仮に渡されたとしても、支払いに応じることは犯罪者を助長する行為となり、あなたや他の支払った人々が将来さらに攻撃を受けるリスクを高めるだけです。

アンチマルウェアソリューションは、パソコンをセーフモードで起動した状態で実行すると、より高い効果が期待できます。これは、セーフモードでは最小限のWindowsアプリと設定のみが動作し、マルウェアの検出と駆除に多くのシステムリソースを割り当てられるためです。

また、フォボスランサムウェアは、%APPDATA%フォルダやスタートアップフォルダに自身をインストールし、自動起動用のレジストリキーを追加するなど、複数の永続化プロセスを使用することでも知られています。セーフモードでは、これらの自動起動項目が無効になるため、駆除がしやすくなります。

フォボスマルウェアと闘う際には、PC修復ツールも併用するとよいでしょう。PCのクリーニングに加えて、破損したレジストリエントリの修復も行ってくれます。

フォボスマルウェアからコンピュータを守る方法

このフォボスマルウェア駆除ガイドの一環として、ランサムウェア感染を未然に防ぐためのポイントもご紹介します。フォボスランサムウェアは、主にRDP(Remote Desktop Protocol)アクセスを使用している企業を標的としています。そのため、企業はまずRDPが有効になっている箇所を洗い出し、不要であれば無効化するか、ブルートフォース攻撃(総当たり攻撃)を防げるほど強固な認証情報を設定することが重要です。この対策としては、二要素認証(2FA)の導入を強くおすすめします。

同時に、企業全体で共通のサイバーセキュリティ戦略を策定し、全従業員がそれを遵守することも欠かせません。組織一丸となって取り組むことで、リスクをより効率的に軽減できます。