CovidWorldCryランサムウェアとは?感染の仕組みと安全な駆除方法を徹底解説

サイバー犯罪者たちは、他人のデバイスに侵入してデータや個人情報、さらには金銭を盗み出すために、日々新しく巧妙な手法を編み出しています。大企業から中小企業、個人ユーザーまでを標的とするマルウェアは後を絶ちません。その一例が、2020年5月下旬に発見された比較的新しいランサムウェア「CovidWorldCry」です。

CovidWorldCryランサムウェアとは?

CovidWorldCryは「BigLock」や「CoronaLock」という名前でも知られる、新型コロナウイルス(COVID-19)をテーマにしたウイルスです。感染したマシン上のデータや一部のシステムファイルをロックし、身代金としてビットコインでの支払いを要求します。このマルウェアは単にデータを暗号化するだけでなく、Windowsの起動プロセス自体にも変更を加える点が特徴的です。多くのランサムウェアはユーザーのファイルのみを暗号化するため、これはかなり異例な挙動といえます。

このランサムウェアは2つの異なるバージョンで出回っており、ChaCha+AESという暗号化アルゴリズムを使用して、写真、画像、動画、文書ファイル、データベースなどの個人ファイルをロックします。

CovidWorldCryランサムウェアは何をするのか?

コンピュータに侵入した後、このランサムウェアはすぐにファイルの暗号化を開始するわけではありません。まず、保存されているすべてのファイルに感染させて、ファイルロックのための下準備を行います。感染が成功すると、ウイルスは以下のような動作を実行します。

• シャドウボリュームコピー(バックアップ用の複製)の削除
• シャドウボリュームコピーに割り当てられたストレージ容量の改ざん
• レジストリへの不正な変更
• 既存プロセスの終了と新規プロセスの開始
• 多数の悪意あるファイルのシステムへの配置

感染プロセスが完了すると、デバイス内のデータはロックされ、ユーザーはアクセスできなくなります。暗号化されたファイルには、マルウェア固有の拡張子「.corona-lock」が付与されます。

データロック型ウイルスはどのように拡散するのか?

CovidWorldCryランサムウェアは、主な攻撃経路として「Rigエクスプロイトキット」を通じて拡散します。もし二重の暗号化に気づいた場合は、CovidWorldCryと「Djvu」の両方に感染していることを意味します。このような二次感染は駆除が非常に困難です。

CovidWorldCryは主にエクスプロイトキット経由で配布されるため、脆弱性のある古いソフトウェアをPCにインストールしたままにしているユーザーは、感染リスクが高まります。

CovidWorldCryランサムウェアの駆除方法

まず最初に行うべきは、信頼できるアンチウイルスソフトを使ってランサムウェアを検出・除去することです。

ロックされたデータを解除するには、専用の復号鍵が必要です。しかし、すでに暗号化されたデータを解読する鍵が手に入らない場合、どうすればよいのでしょうか?ご安心ください。鍵がなくても、以下の方法でCovidWorldCryランサムウェアを安全に駆除できます。

方法1:セーフモードを使用する

ネットワークサポート付きのセーフモードを使ってCovidWorldCryランサムウェアを駆除するには、以下の手順を実行してください。

ステップ1:ネットワークサポート付きセーフモードでコンピュータを再起動する

Windows XP/Vista/7の場合

1. 「スタート」→「シャットダウン」→「再起動」をクリックします。
2. コンピュータの再起動中にF8キーを数回押します。
3. 「Windows詳細オプション」メニューが表示されます。
4. 「セーフモードとネットワーク」を選択します。

Windows 8/10の場合

1. ログイン画面の「電源」ボタンをクリックします。
2. 「Shift」キーを長押しします。
3. 「再起動」をクリックします。
4. 「トラブルシューティング」を選択します。
5. 「詳細オプション」を選択します。
6. 「スタートアップ設定」→「再起動」へ進みます。
7. コンピュータが「スタートアップ設定」画面で再起動します。
8. F5キーを押すか、「ネットワークサポート付きセーフモードを有効にする」をクリックします。

ステップ2:ランサムウェアを削除する

1. 感染したアカウントにログインします。
2. ブラウザを起動します。
3. 信頼性の高いセキュリティツールをダウンロードしてインストールします。
4. フルスキャンを実行し、悪意のあるファイルを削除します。
5. これでCovidWorldCryランサムウェアの駆除は完了です。

方法2:システムの復元を使用する

システムの復元機能を使ってCovidWorldCryランサムウェアを駆除するには、以下の手順に従ってください。

ステップ1:コマンドプロンプト付きセーフモードでコンピュータを再起動する

Windows XP/Vista/7の場合

1. 「スタート」ボタンをクリックし、「シャットダウン」を選択します。
2. 「再起動」をクリックします。
3. 「OK」を選択します。
4. F8キーを何度か押します。
5. 「詳細ブートオプション」ウィンドウが表示されます。
6. 「コマンドプロンプト」へ進みます。

Windows 8/10の場合

1. ログイン画面の「電源」ボタンを押します。
2. 「Shift」キーを長押しします。
3. 「再起動」を選択します。
4. 「トラブルシューティング」へ進みます。
5. 「詳細オプション」→「スタートアップ設定」→「再起動」の順に選択します。
6. コンピュータが再起動すると、「スタートアップ設定」ウィンドウが表示されます。
7. 「コマンドプロンプト付きセーフモードを有効にする」を選択します。

ステップ2:システムファイルと設定を復元する

1. コマンドプロンプトウィンドウに「cd restore」と入力します。
2. 「Enter」キーを押します。
3. 「rstrui.exe」と入力します。
4. 再度「Enter」キーを押します。
5. 新しいウィンドウが表示されたら「次へ」をクリックします。
6. 復元ポイントを選択します。CovidWorldCryランサムウェアに感染する前の時点を選ぶのが理想的です。
7. 「はい」を選択してシステムの復元を開始します。

このプロセスが完了した後も、強力なアンチウイルスプログラムでコンピュータ全体をスキャンし、残存する脅威がないことを確認することをおすすめします。

まとめ

スマートフォンやPCへの感染は、どのような種類であっても深刻な被害をもたらします。データを失うだけでなく、個人情報が漏えいするリスクもあります。だからこそ、常に評判の良いアンチウイルスプログラムでデバイスを保護しておくことが重要です。アンチウイルスソフトは、CovidWorldCryランサムウェアのスキャン・駆除や被害の復旧にも大きく役立ちます。また、クラウドなどのリモートサーバーへ定期的に最新状態のバックアップを取る習慣も忘れないでください。なお、現時点ではCovidWorldCryに対応した公式の復号ツールは存在していません。