Nefilim(ネフィリム)ランサムウェアとは?感染の仕組みと駆除・対策方法を徹底解説

Nefilim(ネフィリム)ランサムウェアに感染してしまった、あるいは感染の疑いがある方も少なくありません。実は同じように被害を受け、悩んでいるユーザーは世界中に存在します。

本記事では、Nefilimランサムウェアとは何か、どのような挙動をするのか、そして駆除と完全な除去の方法について詳しく解説します。

Nefilimランサムウェアの概要

Nefilimは、2020年2月末頃にインターネット上で出現し拡散を始めた比較的新しいランサムウェアです。セキュリティ関連メディア「Bleeping Computer」の報告によると、そのコードにはNemty 2.5のアップグレード版であることを示す特徴的なシグネチャが確認されています。

両者のコードには類似点が多く見られますが、運用面では重要な違いがあります。

• 身代金の連絡手段として、Nemtyが採用していたTorペイメントサイトではなく、電子メールによるやり取りを採用している。
• Nemtyの特徴であった「Ransomware-as-a-Service(RaaS)」の仕組みを廃止している。

なお、現時点ではNemtyと同じ脅威アクターがNefilimの背後にいるという確証は得られていません。

Nefilimランサムウェアは何をするのか?

Nefilimランサムウェアの挙動を理解するには、その動作手法(モード・オペランディ)を知ることが近道です。基本的には他のランサムウェアと同様、システムに感染しファイルを暗号化したうえで、復号と引き換えに金銭を要求します。ただし、Nefilimには以下のような独自の特徴があります。

• 感染経路はまだ完全には解明されていませんが、セキュリティ研究者の間では、外部に公開されたリモートデスクトップサービス(RDP)を経由して配布される可能性が高いと指摘されています。
• 起動されると、AES-128とRSA-2048という2つの暗号アルゴリズムを組み合わせて、被害者のファイルを暗号化します。
• まずAES-128によってファイル本体が暗号化されます。
• 次に、このAES暗号鍵がRSA-2048の公開鍵で暗号化されます。この公開鍵はランサムウェアの実行ファイル内に埋め込まれています。
• 暗号化されたAES鍵は、それぞれの暗号化済みファイルの中に埋め込まれます。これを復号できるのは、RSA秘密鍵を保有する攻撃者(開発者)だけです。
• すべての暗号化ファイルには「.NEFILIM」という拡張子が付与されます。たとえば「state.doc」というファイルは暗号化され、「doc.NEFILIM」のように改名されます。
• さらに、暗号化された各ファイルには「NEFILIM」というファイルマーカー文字列も追加されます。
• 暗号化が完了すると、「NEFILIM-DECRYPT.txt」という身代金要求のテキストファイルが作成され、復号手順が指示されます。

Nefilimは、以前のランサムウェアよりも洗練されていると言われています。身代金要求文には複数の連絡先メールアドレスが記載されており、さらに攻撃から7日以内に身代金を支払わなければ、盗んだデータを公開すると脅してくる点が特徴的です。これはいわゆる「二重恐喝(ダブルエクストーション)」と呼ばれる手法です。

身代金を支払うべきか?

このジレンマに対する正解は、残念ながら明確には存在しません。

身代金を支払えば復号鍵を受け取れるかもしれませんが、攻撃者が必ず鍵を渡してくれる保証は一切ありません。過去の事例を見ても、復号ツールやソフトウェアを提供せずに姿を消した犯罪者は少なくありませんでした。

そのため、専門家の間では「ランサムウェアの運営者との接触は避けるべき」というのが一般的な見解です。支払いは資金調達を助長するだけであり、データが戻ってくる保証もないからです。

被害者が最初に取るべき行動

Nefilimランサムウェアの被害者は、まず何よりも速やかにPCシステムからランサムウェアを除去することです。感染状態が長引くほど、侵害されるデータは増えていきます。脅威を完全に除去できたら、その後にバックアップなどからデータの復元を行いましょう。

Nefilimランサムウェアの駆除方法

コンピュータからNefilimランサムウェアを除去することが、問題を安全かつ確実に解決する唯一の方法です。駆除のアプローチは主に2つあります。

• 自動駆除ツールを使用する方法:信頼できるサードパーティ製のランサムウェア除去ツールやウイルス対策ソフトを利用します。手軽で確実性が高いため、初心者におすすめです。
• 手動で除去する方法:コンピュータに関する経験と知識が必要で、作業も複雑になりがちです。自信がない場合は、専門家への相談を検討してください。

Nefilimランサムウェアを完全に取り除く方法

駆除作業を始める前に、まずコンピュータを「ネットワークサポート付きセーフモード」で再起動する必要があります。OSのバージョンごとに手順を紹介します。

Windows XP / Vista / 7 の場合

1. コンピュータを再起動します。
2. PCが起動し始める前に、F8キーを連打します(システムの通常起動を防ぎ、詳細ブートオプション画面が表示されます)。
3. 詳細ブートオプション画面で「セーフモードとネットワーク」を選択します。
4. キーボードのEnterキーを押します。

Windows 8 / 10 の場合

1. スタートボタンをクリックし、設定を選択します。
2. 更新とセキュリティをクリックします。
3. 回復を選択し、今すぐ再起動するをクリックします。
4. 再起動後、トラブルシューティング > 詳細オプション > スタートアップ設定 > 再起動の順に進みます。
5. 最後の再起動後、F5キーを押してネットワーク付きセーフモードを有効にします(その後は画面の指示に従ってください)。

セーフモードで起動できたら、信頼できるセキュリティソフトによるフルスキャンを実行し、Nefilimおよび関連ファイルをすべて検出・削除してください。駆除後は、OSやソフトウェアを最新の状態に更新し、RDPなどの不要なリモートアクセスを閉じることで、再感染のリスクを大幅に減らせます。

まとめ

以上が、Nefilimランサムウェアの概要と対処方法の解説でした。

ランサムウェア被害は非常にストレスの多い出来事ですが、仕組みと対策を理解していれば冷静に対応できます。日頃からのバックアップ取得とセキュリティ対策が、最良の防御策となることを忘れないでください。ランサムウェア攻撃に関するその他のお困りごとがあれば、ぜひコメント欄でお知らせください。