MacのEvilQuestランサムウェアとは？偽装型マルウェアの脅威と対処法

ランサムウェアよりも厄介なものは何でしょうか。それは、ランサムウェアを装いながら、バックグラウンドでまったく別のマルウェアとして動作する不正プログラムです。この種のマルウェアは、その「目くらまし」の仕組みゆえに極めて危険です。被害者がランサムウェア感染への対処に追われている間に、本来のマルウェアは検知されることなく自由に活動を続けられるのです。

EvilQuest（イーヴィルクエスト）ランサムウェアはまさにその典型例です。EvilQuestの存在自体は比較的発見しやすいものの、ユーザーの注意が目の前の「煙幕」となるランサムウェアに集中してしまうため、背後で動作する本命のマルウェアにとっては格好の隠れ蓑となってしまいます。

MacにおけるEvilQuestランサムウェアとは

EvilQuestランサムウェア（別名ThiefQuest）は、2020年6月に発見された比較的新しいランサムウェアの一種です。主にLittle Snitch、Mixed In Key、Ableton Liveといった人気Macアプリの海賊版にバンドルされて拡散しており、その後、「Google Software Update」プログラムに偽装した形でも確認されています。

EvilQuestは、強力な暗号化アルゴリズムを用いて被害者のドキュメントやファイルを暗号化します。感染すると、以下のようなポップアップメッセージが表示され、ランサムウェアの存在に気づくことになります。

あなたのファイルは暗号化されました

重要なドキュメント、写真、動画、画像などの多くのファイルが暗号化され、アクセスできなくなっています。

ファイルを復元する方法を探しているかもしれませんが、時間を無駄にしないでください。当社の復号サービスなしにファイルを復元できる者はいません。

ただし、安全かつ簡単にファイルを復元できることを保証します。費用は50米ドルのみで、追加料金は一切ありません。

このオファーは3日間有効です（今すぐ開始）。詳細については、デスクトップ上のREAD_ME_NOW.txtをご覧ください。

同時に、READ_ME_NOW.txtという身代金要求メモもデスクトップ上に作成されます。このメモにはポップアップと同じ内容に加え、支払いに関する詳細が記載されています。

当方は256ビットAESアルゴリズムを使用しています。鍵を知らずにこの暗号を解読するには10億年以上かかります（信じられない場合はWikipediaでAESについて調べてみてください）。

いずれにせよ、安全かつ簡単にファイルを復元できることを保証します。復号には当方側で処理能力・電力・ストレージが必要となるため、固定の処理手数料として50米ドルをいただきます。これは一回限りの支払いで、追加料金はありません。

このオファーを受け入れる場合は、このメッセージを受信してから72時間（3日）以内に入金してください。期限を過ぎるとオファーは失効し、ファイルは永久に失われます。

支払いはBitcoinで、支払い時点のBTC/USDレートに基づいて行う必要があります。送金先アドレス：

13roGMpWd7Pb3ZoJyce8eoQpfegQvGHHK7

入金処理完了後2時間以内に自動的に復号が開始され、お使いのPCの処理能力に応じて2〜5時間で完了します。その後、すべてのファイルが復元されます。

このオファーは受信後72時間有効です。

単なるランサムウェアではない

身代金要求メモを見て最初に気づくのは、異常に低い身代金額です。STOP/Djvu系ランサムウェアが980ドル、Lockyマルウェアが4,000〜8,000ドルを要求していたのと比べると、50ドルという額はほとんど無視できるレベルです。さらに、メモには連絡先情報が一切記載されておらず、被害者が攻撃者に連絡を取る手段すらありません。

この点から、攻撃者が本気なのか疑問に思うのは当然でしょう。50ドルという身代金は冗談のように思え、多くのセキュリティ専門家がこのマルウェアの正体に疑念を抱きました。そして詳細な分析の結果、セキュリティ研究者たちは、EvilQuestが単なるランサムウェア以上のものであることを突き止めたのです。

EvilQuestには、ファイルの暗号化やわずかな身代金の要求にとどまらない機能と能力が備わっています。詳しく調査したところ、キーロガー（キー入力記録）機能とデータ窃取機能も搭載されていることが判明しました。画像、各種テキスト文書、データベース、プレゼンテーション、スプレッドシート、暗号資産ウォレット、バックアップなど、機密性の高いデータを収集できます。さらに、仮想マシン上で実行されているかどうかや、インストール済みのセキュリティソリューションを検知することも可能で、これによりさまざまな永続化戦略を実行します。

ランサムウェアがシステムをスキャンし、対象のデータ形式に一致するファイルを検出すると、リバースシェルを開いて密かにコマンドサーバーへ接続します。マルウェアはこれをバックドアとして利用し、Macに追加ファイルをダウンロードしたり、収集したデータを外部へ持ち出したりします。これらの活動は、一部のシステムファイルをロックしてユーザーの注意をそらしている間に行われるのです。

このランサムウェアによって暗号化される主な拡張子は以下の通りです。

.pdf、.doc、.txt、.jpg、.pem、.pages、.cer、.py、.h、.webarchive、.zip、.xsl、.xslx、.docx、.ppt、.keynote、.js、.crt、.php、.m、.hpp、.pptx、.cpp、.cs、.sqlite3、.pl、.p、.p3、.wallet、.html、.dat など

MacからEvilQuestランサムウェアを削除する方法

幸いなことに、現在では多くのセキュリティソフトがEvilQuestランサムウェアを検知し、Macから駆除できるようになっています。ウイルス対策ソフトを使えば、ランサムウェア本体だけでなく、付随する「追加機能」（リバースシェルやキーロガー機能）もコンピュータから削除できます。MalwarebytesはEvilQuest Macランサムウェアの除去に効果的なツールの一つです。また、Patrick Wardle氏のRansomWhere?ツールも、EvilQuestによる悪意のある暗号化プロセスを検知・阻止することが可能です。ただし、これらのツールを使う場合、ファイルのバックアップがないと大幅なデータ損失につながる点に注意が必要です。

ファイルのコピーをお持ちでない場合は、SentinelOneが公開したEvilQuest復号ツール（デクリプター）を利用できます。使い方については、公開されているデモ動画を参考にするとよいでしょう。ただし、この復号ツールはファイルのロック解除のみを行い、マルウェア本体は除去しないため、使用前に必ずランサムウェアを駆除し、Macをクリーンな状態にしておく必要があります。

まとめ

近年のマルウェアはますます巧妙化・高度化しており、従来のようなカテゴリー分類だけでは捉えきれないものになっています。EvilQuestランサムウェアはその好例といえるでしょう。Macが何らかのマルウェアに感染したという通知を受け取った場合は、表示された内容を鵜呑みにせず、必ずコンピュータ全体を徹底的にスキャンし、システム内の悪意あるソフトウェアの痕跡をすべて取り除くことが重要です。