コンピュータのメンテナンス
 Computer >> コンピューター >  >> トラブルシューティング >> コンピュータのメンテナンス

Cobra Lockerランサムウェアの削除方法|感染症状とファイル復旧手順を解説

パンデミック期には、ランサムウェア攻撃が2020年2月時点の水準と比べて148%も急増しました。セキュリティ専門家は新型コロナウイルス(COVID-19)関連の攻撃の増加に注目していましたが、それ以外のランサムウェア亜種による被害も同様に拡大していました。その一因として、労働力の約70%が在宅勤務を余儀なくされ、オフィスよりもセキュリティ対策が手薄な家庭環境で業務を行わざるを得なかったことが挙げられます。

世界的なロックダウン中に大きな被害をもたらしたランサムウェアのひとつが「Cobra Locker」です。この脅威はAESとRSAという2つの暗号化アルゴリズムを使ってファイルをロックし、「.cobra」という拡張子を付与します。主な感染経路は、悪意のあるウェブサイトからのダウンロード、スパムメールの開封やリンクのクリック、他のマルウェアによる直接侵入などです。攻撃者はファイルの復号と引き換えに金銭を要求し、支払いがない限りユーザーは自分のファイルへアクセスできない状態に置かれます。

Cobra Lockerランサムウェアとは?

Cobra Lockerランサムウェア(Cobra_Lockerとも表記されます)は、2020年6月にTwitterユーザーの@dnwls0719氏によって初めて発見されました。パンデミックの影響を受けた人々を標的にするために開発された、比較的新しいランサムウェアの系統です。このクリプトウイルスは、ユーザーのデータを暗号化した上で、復号サービスと引き換えに身代金の支払いを要求します。標的となるのは、動画、画像、文書、アーカイブ、データベースなど、PC上に保存された多様なデータで、これらはすべて暗号化され、身代金を支払うまでアクセス不能になります。

Cobra Lockerに感染すると、鮮やかな赤い背景のポップアップメッセージが表示されるため、感染に気づきやすいのが特徴です。表示されるメッセージはおおむね以下のような内容です。

Cobra_Locker

おっと!あなたのファイルは暗号化されました!

ファイルを復号したい場合は、復号コードが必要です。

このPC上の重要なファイルはすべて暗号化されました。

.Cobra拡張子を持つすべてのファイルが暗号化されています。

暗号化には、このコンピュータ専用に生成された固有の秘密鍵が使用されました。

ファイルを復号するには、秘密鍵を入手する必要があります。

秘密鍵を取得するには、admin@wsxdn.com宛てにメールでご連絡ください。

メール送信後は、さらなる指示をお待ちください。

連絡先メールアドレス:admin@wsxdn.com

各セキュリティソフトにおけるCobra Lockerの検出名は以下の通りです。

  • DrWeb:Trojan.Encoder.31957 および Trojan.Encoder.32077
  • ALYac:Trojan.Ransom.Filecoder
  • Avira:TR/Ransom.avuwe
  • BitDefender:Gen:Heur.Ransom.RTH.1、Trojan.GenericKD.43441079
  • ESET-NOD32:MSIL/Filecoder.YQの変種 または MSIL/Filecoder.AAXの変種
  • Malwarebytes:Ransom.FileCryptor または Ransom.CobraLocker
  • Rising:Ransom.Encoder 8.FFD4
  • Symantec:ML.Attribute.HighConfidence
  • Tencent:Msil.Trojan.Encoder.Wtod
  • TrendMicro:TROJ_GEN.R002H09FE20

その約1か月後、同じ攻撃者グループによるとみられる新しいランサムウェアが出現しました。こちらは「.IT」という拡張子をファイルに付加するもので、7月上旬に確認されています。身代金要求画面にはCobra Lockerと同じメールアドレス(admin@wsxdn.com)が記載されており、恐怖心をあおる演出として、ホラー映画『IT』に登場するペニーワイズの画像が背景に使われていました。表示されるメッセージは以下の通りです。

あなたはITランサムウェアの犠牲者になりました!

すべての重要なファイルが暗号化され、画面もロックされました!

まずはルールをご紹介しましょう。

  1. 画面のロックを解除するには、特別なキーを入力してください。
  2. ファイルを復号するには、admin@wsxdn.comまでご連絡ください。

ITランサムウェアの検出名は以下の通りです。

  • DrWeb:Trojan.Encoder.32077
  • BitDefender:Trojan.GenericKD.43441079
  • ESET-NOD32:MSIL/Filecoder.AAXの変種
  • Malwarebytes:Ransom.CobraLocker
  • Symantec:ML.Attribute.HighConfidence

両方の身代金要求メッセージを見ると、攻撃者は支払い方法や金額について一切言及していません。ファイルの復号方法を知るには、記載されたメールアドレス宛てに直接メールを送る必要があるとしています。

ただし、期待は持たないでください。身代金を支払ったからといって、攻撃者が必ずファイルを復号してくれる保証はありません。支払い後に無視される可能性も十分にあります。

Cobra Lockerランサムウェアの脅威とは?

Cobra LockerとITランサムウェアは同じ攻撃者グループによるものであり、両者はほぼ同じ手法で動作すると考えて差し支えありません。

Cobra LockerはAES+RSAアルゴリズムでユーザーのファイルを暗号化し、すべてのファイルに「.Cobra」拡張子を付加します。一方のITランサムウェアは「.IT」拡張子を付加します。どちらもシステムを走査し、MS Office文書、OpenOfficeファイル、PDF、テキストファイル、データベース、画像、音楽、動画、アーカイブなどを自動的に暗号化します。身代金要求メッセージによれば、攻撃者の要求する金額を支払わない限り、これらのファイルにはアクセスできないことになります。

特に、暗号化されたファイルのバックアップを持っていない場合、このランサムウェアは深刻な問題となります。では、Cobra Lockerランサムウェアに感染した場合、どうすればよいのでしょうか?

Cobra Lockerランサムウェアの削除手順

Cobra LockerまたはITランサムウェアに感染したら、まず最初に行うべきは、さらなるファイル暗号化を防ぐためにマルウェア本体をPCから除去することです。その後、ファイルの復旧を試みます。

以下に、Cobra LockerランサムウェアおよびITランサムウェアをPCから削除する手順を示します。

ステップ1:ネットワーク付きセーフモードで起動する

  1. Windows > 電源アイコンをクリックし、Shiftキーを押しながら再起動を選択します。
  2. トラブルシューティング > 詳細オプションを選択します。
  3. スタートアップ設定 > 再起動をクリックしてPCを再起動します。
  4. Windowsが起動したら、キーボードのF5キーまたは数字の5を押して、ネットワーク付きセーフモードで起動します。

ステップ2:ランサムウェアを削除する

次に、ランサムウェアを検出・除去できるセキュリティソフトが必要です。適切なアンチマルウェア製品をまだお持ちでない場合は、このステップに進む前に必ずダウンロードしてインストールしてください。アンチウイルスをインストールしたら、PC全体をスキャンし、感染ファイルをすべて削除します。ランサムウェアに関連するファイルは以下の通りです。

  • Ransomware.exe または IT.exe
  • CobraLocker.dll
  • _readme.txt
  • readme.txt

ステップ3:ファイルを復旧する

最後のステップはファイルの復旧です。現時点でこのランサムウェア専用の復号ツールは存在しないため、以下のいずれかの方法を試してみましょう。

汎用復号ツールを試す

Michael Gillespie氏、Kaspersky、Emsisoftなどのセキュリティ専門家・企業が提供している汎用の復号ツールがいくつか公開されています。それぞれ試して、有効なものを探してみてください。

システムの復元ポイントを使う

もうひとつの選択肢は、感染前の復元ポイントまでシステムを巻き戻すことです。ただし、システムがいつ感染したのか正確に把握していない場合は難しいでしょう。安全のためには、ランサムウェアが発見された時期(2020年6月)よりかなり前の復元ポイントを選択することをおすすめします。

サードパーティ製の復旧ソフトを使う

復号ツールが機能せず、利用できる復元ポイントもない場合は、最後の手段としてRecuva、EaseUS Data Recovery、Stellarなどのデータ復旧ソフトを試してみましょう。

まとめ

ランサムウェアへの対処は容易ではありません。特にファイルのバックアップがない場合は深刻です。何よりも重要なのは、上記の復旧方法を試す前に、まずデバイスからランサムウェアを完全に除去することです。また、復号を試みる前に暗号化されたファイルのコピーを必ず取っておけば、データ損失のリスクを減らせます。すべての手段が失敗した場合は、Cobra Locker専用の復号ツールが公開されるのを待つという選択肢もあります。

  1. iTunesで重複した曲を削除する方法｜手動での探し方と整理術を徹底解説

    iTunesは便利で楽しい音楽管理ツールですが、長く使い続けるうちにさまざまな問題が発生することがあります。その中でも特によくあるのが、音楽ファイルやその他のオーディオファイルの重複です。重複した曲が増えると、ライブラリの検索や再生に支障が出るだけでなく、Macの貴重なストレージ容量も無駄に消費してしまいます。「iTunesの重複した曲を削除するにはどうすればいいのか？」——本記事では、重複曲を効率的に見つけて削除する方法から、今後の発生を防ぐコツまで詳しく解説します。不要な重複ファイルを定期的に整理すれば、iTunesライブラリを常にクリーンな状態に保てます。デバイスの空き容量が増えるだけで

  2. ファイルとフォルダを完全に削除する方法(ごみ箱を経由しない手順)

    パソコン上のファイルやフォルダをごみ箱を経由せずに完全に削除したい場合、特別なソフトは不要です。キーボード操作だけで簡単に行えます。ここでは、その具体的な手順をわかりやすく解説します。 ファイルとフォルダを完全に削除する手順 1. 削除したいファイル・フォルダを選択する まず、削除したいファイルまたはフォルダを探し、クリックして選択します。複数の項目をまとめて選択したい場合は、「Ctrl」キーを押しながら各ファイルをクリックすると効率的です。 2. 「Shift」キーを押しながら「Delete」キーを押す ファイルやフォルダを選択した状態のまま、キーボードの「Shift」キーを押しなが