Xoristランサムウェアとは?感染経路・仕組み・駆除方法を徹底解説

インターネットは年々危険性を増しており、その中でも近年特に深刻な脅威のひとつが「Xorist(ゾリスト)ランサムウェア」です。セキュリティアナリストの間では、Xoristランサムウェアによる感染被害が顕著に増加していることが確認されています。

本記事では、Xoristランサムウェアの概要、感染すると何が起こるのか、侵入手法、そして駆除方法について詳しく解説します。記事の最後には、実際に駆除を行うための手順ガイドもご用意しましたので、ぜひ参考にしてください。

Xoristランサムウェアの概要

Xoristランサムウェアは、RaaS(Ransomware as a Service:ランサムウェア・アズ・ア・サービス)として提供されているマルウェアファミリーの一種です。攻撃者は「ランサムウェアビルダー」と呼ばれるツールを使い、さまざまな亜種を簡単に作り出すことができます。

この仕組みにより、高度な技術を持たない初心者ハッカーや詐欺師でも、短時間で独自のカスタマイズ版を作成できるようになりました。その結果、PCセキュリティ対策は一層複雑になっています。

Xoristは亜種が非常に多いため、研究者が効果的な対策ソリューションを提供するのが難しいという課題もあります。各亜種は、異なる身代金要求メッセージ、ファイル拡張子、暗号化方式などを使用しており、手口も多岐にわたります。

さらに厄介なことに、復号ツールが公開されていても、Xoristの亜種は進化を続けています。登場以来現在まで活動を続けており、新たなバージョンが次々と出現しています。

Xoristランサムウェアの被害内容

Xoristは主にMicrosoft Windows PCを標的とするファイル暗号化型マルウェアです。強力な暗号化アルゴリズムを使用してファイルをロックし、復号と引き換えに身代金の支払いを要求します。特に英語圏およびロシア語圏のユーザーを狙う傾向があります。

主な感染経路は、安全でない設定のRDP(リモートデスクトッププロトコル)への不正アクセスです。具体的には以下のような手法で拡散します。

• Webインジェクション
• 脆弱性エクスプロイト
• スパムメール
• 悪意のある添付ファイル
• 偽のアップデート
• 不正なダウンロードサイト
• 感染済みファイル
• 再パッケージされたインストーラー

侵入後の挙動

Xoristランサムウェアは、感染すると自身のファイルを被害者のPCのハードディスクにコピーします。亜種によってファイル名は異なり、例えば「(ランダム名).dll」のような名前が使われます。ただし、デフォルトの暗号化拡張子は「.EnCiPhErEd」です。

続いて、「Xorist ransomware」という名前で新しいスタートアップキーを作成し、値として「(ランダム名).dll」を登録します。これにより、被害者はタスクマネージャーのプロセス一覧で「Xorist ransomware」または「(ランダム名).dll」という名前のプロセスを確認できる場合があります。また、「C:\Program Files\」や「C:\ProgramData」配下に「Xorist ransomware」という名前のフォルダを作成することもあります。

すべての亜種に共通する特徴として、「HOW TO DECRYPT FILES.txt」という名前の身代金要求メモが作成されます。その内容は以下のようなメッセージです。

注意!すべてのファイルが暗号化されました!
ファイルを復元してアクセスするには、
XXXXという本文でYYYY番号宛てにSMSを送信してください。

コード入力はあとN回です。
規定回数を超えると、
すべてのデータは不可逆的に破壊されます。
コード入力の際は十分注意してください!

Xoristランサムウェアの駆除方法

Xoristランサムウェアの駆除には、主に以下の2つの方法があります。

1. 手動での駆除:関連するレジストリキーとファイルをすべて削除し、スタートアップから除外し、対応するDLLの登録を解除します。
2. 自動での駆除:Wipersoft、SpyHunter、Emsisoft、Kasperskyなどのサードパーティ製アンチマルウェアツールやデータ復旧ソフトウェアを使用します。

幸いなことに、セキュリティ専門家や研究者たちは、攻撃者がXorist亜種の生成に使用していたランサムウェアビルダーをすでに発見しています。このビルダーをもとに、全亜種に対応した復号ツールがサードパーティソフトウェアとして開発されました。

そのため、信頼性の高いアンチマルウェアまたはアンチウイルスソフトであれば、Xoristランサムウェアを確実に除去できます。駆除後は、システムの損傷を修復するために、プロフェッショナルな最適化ユーティリティの利用をおすすめします。

Xoristランサムウェア駆除ガイド

手動でXoristランサムウェアを駆除する場合は、以下の作業が必要です。

• 関連するレジストリキーとファイルをすべて削除する
• スタートアップ項目から除外する
• 対応するDLLの登録を解除する(Xoristによって破損したDLLがあれば、復元も必要)

以下、具体的な手順を順番に解説します。

1. バックアップを作成する:まず、すべてのファイルとフォルダを安全な場所にバックアップします。
2. セーフモードで起動する:PCをセーフモードで起動します。
3. レジストリをクリーンアップする:Xoristランサムウェアが作成したレジストリを削除します。主な標的となるWindowsレジストリは以下の通りです。
   HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
   HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
   HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce
   HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce
   • 「ファイル名を指定して実行」ウィンドウを開き、「regedit」と入力してOKをクリックします。
   • レジストリエディターで、上記の場所にあるRunキーおよびRunOnceキーへ移動します。
   • マルウェアの値を見つけたら、右クリックして削除します。
4. マルウェアが作成したファイルを特定する:
   • Windowsの検索ボックスで「explorer.exe」を実行し、OKをクリックします。
   • クイックアクセスバーから「PC」または「マイコンピュータ」を選択します。
   • 検索ボックスに「fileextension:」と入力し、続けて拡張子を指定します(例:「fileextension:exe」)。その後、スペースを空けて、マルウェアが作成したと思われるファイル名を入力します。
   • 緑色の読み込みバーが満タンになるまで待ちます。これでファイルが見つかったかどうかがわかります。
5. 感染ファイルを削除する:検出された感染ファイルやフォルダを削除します。
6. 通常モードで再起動する:PCを通常モードで再起動します。
7. 残存チェックを行う:アンチマルウェアツールをお持ちの場合は、スキャンを実行してマルウェアの痕跡が残っていないか確認します。

まとめ

以上がXoristランサムウェアの解説でした。

ランサムウェア被害は非常に深刻で、精神的にも大きな負担となります。しかし、この記事を読んでいただければ、Xoristランサムウェアの仕組みと駆除方法はしっかり理解できたはずです。万が一、他のランサムウェアに関するお困りごとがありましたら、コメント欄でお知らせください。