Tabeランサムウェアの脅威と対処法：コンピュータから完全に削除する手順

新型コロナウイルスのパンデミックをきっかけに、多くの企業が従業員に在宅勤務を許可するようになりました。セキュリティ専門家の推計によると、2020年2月4日から4月7日の間にリモートワークは約70%増加したとされています。その結果、攻撃者にとってはより大きく、より攻撃しやすい標的が生まれることになりました。実際、近年はマルウェア攻撃が急増しており、特にランサムウェア攻撃は2020年3月に148%も急上昇しました。攻撃者はコロナウイルスに対する人々の不安や恐怖につけ込み、感情に訴えかける配布手法で被害を拡大させていたのです。

近年急速に拡散しているランサムウェアの一つが「Tabe（タベ）ランサムウェア」です。Tabeランサムウェアは、Djvu/STOPランサムウェアと呼ばれる有名なランサムウェアファミリーに属する悪意のあるソフトウェアです。この亜種は同グループの234番目のバージョンにあたり、元のバージョンよりもさらに洗練された脅威となっています。

Tabeランサムウェアのような脅威は、被害者のデバイスに直接攻撃を仕掛け、重要なファイルをすべてロックしたうえで、復号鍵と引き換えに金銭を要求します。面倒を避けるために、多くの被害者は身代金を支払ってファイルを取り戻そうとします。しかし残念ながら、身代金を支払ったとしてもデータを取り戻せないケースも少なくありません。

では、Tabeランサムウェアに遭遇したらどうすればよいのでしょうか。本記事では、Tabeランサムウェアの正体、システムへの侵入経路、そして身代金を支払わずにファイルを復元する方法について詳しく解説します。

Tabeランサムウェアとは？

Tabeランサムウェアは、単なるランサムウェアではありません。ファイルをロックするだけでなく、完全な駆除を妨げるためにマシン自体にも損害を与えます。この侵入型のファイルロッカーは、単にファイルを暗号化して金銭を要求するだけでなく、特定のシステムファイルや機能をも破壊し、ユーザーが身代金を支払わざるを得ない状況へと追い込みます。

TabeランサムウェアはDjvu/STOPランサムウェアファミリーに属しているため、他の脅威よりも厄介です。このグループの背後にいるハッカーは2016年頃から悪質なキャンペーンを展開していることで知られており、コードの一部を自由に改変して次々と新しいバージョンをリリースします。そのため、マルウェア研究者たちは登場以来、その仕組みを完全に解析できずにいるのです。

Tabeランサムウェアは現在、Djvuランサムウェアの234番目のバージョンにあたります。以前のバージョンの多くは、オフラインキーを使用していたため、マルウェア研究者が復号ツールを作成することが可能でした。感染したコンピュータがインターネットに接続されていない場合や、サーバーがタイムアウト・応答不能だった場合には、ハードコードされたオフラインキーでデータが暗号化される仕組みだったため、サイバーセキュリティ専門家であるMichael Gillespie氏が開発した復号ツールでロックされたデータを復元できた被害者もいました。

しかしながら、ここ1年ほどでリリースされたバージョンはオンラインIDに依存するようになり、従来のツールでは復号できなくなっています。2019年8月以降のバージョンはオフラインキーを使用していないため、マルウェア研究者には、ほぼ毎週のように登場する新亜種についてユーザーに注意喚起することしかできないのが現状です。

Tabeランサムウェアは最新バージョンの一つですが、その他の特徴は以前のバージョンとほぼ同じです。身代金要求メモ「_readme.txt」には同じadmin@wsxdn.comというメールアドレスが記載されており、被害者はこのアドレス経由で攻撃者と連絡を取ることになります。身代金額も同様に、支払いまでの時間によって490ドルまたは980ドルと設定されています。テキストファイルには、暗号化プロセスに関する詳細情報と、身代金要求メモを受け取った後に被害者が取るべき行動が記載されています。

Tabeランサムウェアの感染経路

ランサムウェアをはじめとするマルウェアは、通常、スパムメール、マルバタイジング（悪意ある広告）、アドウェアやリダイレクト、トロイの木馬、非正規ソースからダウンロードされた不正なアクティベーションツールやクラック、偽アップデーター、信頼できないダウンロードチャネルなどを通じて拡散します。

スパムキャンペーンは一般的に大規模な仕組みで、数千件もの詐欺メールが送信されます。これらのメールは、正当なものや重要・緊急なものに見せかけて、ユーザーを開封させるよう設計されています。コロナ禍では、人々を騙すスパムメールが大量に送られました。パンデミックで困窮する人々を支援する慈善団体への寄付や、治療薬の研究を行う団体への協力を求めるメールなどがその例です。また、リンクをクリックさせたり、マルウェアを含む添付ファイルをダウンロードさせたりすることを目的としたメールもありました。リンクをクリックしたり添付ファイルを開いたりすると、隠れていたマルウェアのダウンロードとインストールが自動的に実行されてしまうのです。

Tabeランサムウェアのもう一つの配布手法が「アプリバンドリング」です。怪しいソースからクラックツールやフリーウェアをダウンロードすると、特にインストールプロセスを最後まで確認せずに進めた場合、マルウェアが一緒にインストールされている可能性があります。

さらに、Java、ウイルス対策ソフト、Adobe製品などのソフトウェア更新を促す通知にも注意が必要です。こうした偽アップデーターは、本来のアップデートではなくマルウェアをコンピュータにインストールします。その他の配布手段としては、P2Pダウンロード、ファイル共有サイト、マルバタイジング、リダイレクトなどが挙げられます。

Tabeランサムウェアの被害内容

Tabeランサムウェアがコンピュータに侵入すると、まずファイル全体を走査し、ドキュメント、画像、動画、アーカイブなどの重要なデータを暗号化します。暗号化が完了すると、すべてのファイル名の末尾に「.tabe」という拡張子が追加されます。例えば「abc.jpg」という画像ファイルは、暗号化後「abc.jpg.tabe」に変更されます。

Tabeランサムウェアは強力な暗号化アルゴリズムを使用しているため、復号鍵なしでファイルを復号することはほぼ不可能です。通常のツールでファイルを開いたり復元したりすることはできません。

ファイルの暗号化を終えると、ランサムウェアは身代金要求メモをデスクトップに作成します。PCを起動するとすぐに目に入る場所です。メモの内容は概ね以下のようなものです：

ATTENTION!

心配しないでください。すべてのファイルは元に戻せます！

写真、データベース、文書などの重要なファイルはすべて、最強の暗号化と固有のキーで暗号化されました。

ファイルを復元する唯一の方法は、復号ツールと固有のキーを購入することです。

このソフトウェアは、暗号化されたすべてのファイルを復号します。

保証はありますか？

暗号化されたファイルを1つ送っていただければ、無料で復号いたします。

ただし、無料で復号できるのは1ファイルのみです。重要な情報を含まないファイルをご指定ください。

復号ツールの概要ビデオはこちら：

https://we.tl/t-sBwlEg46JX

秘密鍵と復号ソフトの価格は980ドルです。

最初の72時間以内にご連絡いただければ50%割引となり、490ドルになります。

支払いなしにデータを復元することは決してできないことにご注意ください。

6時間以上返信がない場合は、「迷惑メール」フォルダをご確認ください。

ソフトウェアを入手するには、下記のメールアドレスまでご連絡ください：

admin@wsxdn.com

予備のメールアドレス：

admin@wsxdn.com

あなたの個人ID

暗号化されたデータに仕事のファイルが含まれている場合、真っ先に思い浮かぶのは身代金を支払うことでしょう。しかし、セキュリティ専門家は以下の2つの理由から、身代金の支払いに反対しています。第一に、犯罪活動の拡大に加担することになる点。第二に、ハッカーが復号鍵を渡してくれる保証は一切ない点です。攻撃者は金銭さえ手に入れれば、被害者がファイルを取り戻せるかどうかなど気にかけなくなる可能性が高いのです。

Tabeランサムウェアの削除手順

コンピュータがTabeランサムウェアに感染した場合は、身代金を支払わないでください。代わりに、できるだけ早くランサムウェアを駆除し、ファイルの復元を試みましょう。

以下の手順に従って、デバイスからTabeランサムウェアを削除してください。

ステップ1：Tabeランサムウェアのプロセスをすべて終了する

Tabeランサムウェアを削除する最初のステップは、関連するすべてのプロセスを終了させることです。これらのプロセスが動作している間は、必要な変更を行うことができません。タスクマネージャーを開き、不審なプロセスを右クリックして「タスクの終了」を選択します。Tabeランサムウェアに関連するすべてのプロセスに対してこの操作を行い、次のステップへ進みます。

ステップ2：Tabeランサムウェアをアンインストールする

Tabeランサムウェアが何らかのプログラムやPUP（潜在望ましくないプログラム）と一緒に侵入した場合は、「設定」＞「アプリと機能」から該当プログラムをアンインストールします。不審なプログラムを選択し、「アンインストール」ボタンをクリックしてください。感染したファイルを確実に除去するため、アンチウイルスソフトでフルスキャンを実行することをおすすめします。

ステップ3：復号ツールを使ってファイルを復元する

ファイルの復号を試みる際の最初の選択肢は、オンライン復号ツールの利用です。古いバージョンのDjvuランサムウェアに感染していた場合は、Emsisoft社の復号ツールが使用できます。

その他にも試してみる価値のあるツールがいくつかあります。

ステップ4：システムの復元を利用する

この方法では、事前に作成されたシステムの復元ポイントを使用して、Tabeランサムウェアによってシステムに加えられた変更を元に戻します。このプロセスで個人ファイルが失われることはないので安心してください。

手順は以下の通りです：

1. 「スタート」＞「電源」をクリックし、Shiftキーを押しながら「再起動」をクリックして、コマンドプロンプト付きセーフモードで起動します。
2. Windowsのトラブルシューティング画面で、「トラブルシューティング」＞「詳細オプション」＞「スタートアップ設定」＞「再起動」を選択します。
3. スタートアップ設定画面で、F6キーを押してコマンドプロンプト付きセーフモードに入ります。
4. コマンドプロンプトが表示されたら、cd restoreと入力してEnterキーを押します。
5. 続いて、rstrui.exeと入力してEnterキーを押します。
6. または、%systemroot%system32restorerstrui.exeというコマンドを直接入力してEnterキーを押しても構いません。
7. システムの復元ウィンドウが開いたら、「次へ」をクリックし、使用したい復元ポイントを選択します。
8. 「はい」をクリックして復元プロセスを開始します。

まとめ

Tabeランサムウェアは、現時点で有効な復号ツールが存在しないため、Djvuランサムウェアの以前のバージョンよりも厄介な脅威といえます。できるのは、デバイスからランサムウェアを駆除し、システムの復元などを使って手動でファイルの復元を試みること、あるいは他の復号ツールに望みをつなぐことです。ただし、どのような状況でも、絶対に身代金を支払わないでください。