Oonnランサムウェアとは?感染経路と駆除・ファイル復旧方法を徹底解説

2020年前半、ランサムウェア攻撃が急増しました。テレワークが日常化する中、サイバー犯罪者たちはセキュリティ対策が脆弱な、あるいは対策が施されていないシステムへ侵入し、ファイルを暗号化して金銭を得る新たな手口を次々と編み出しています。

Oonnランサムウェアの概要

サイバーセキュリティ研究者の調査により、Oonnマルウェアは2020年に初めて確認された悪名高いランサムウェアであることが判明しています。「Djvu」と呼ばれるランサムウェアファミリーに属し、このファミリーには250種類以上のランサムウェアやウイルスの亜種が確認されています。代表的な亜種には以下のようなものがあります。

• Kuusランサムウェア
• Nileランサムウェア
• Topiランサムウェア
• Erifランサムウェア

セキュリティ専門家によれば、DjvuランサムウェアファミリーはAES-256をはじめとする強力な暗号化アルゴリズムを使用しています。この強固な暗号化により、固有の復号鍵なしに暗号化されたファイルを復元することは極めて困難です。

Oonnランサムウェアは何をするのか?

Oonnランサムウェアは、コンピュータシステム内の重要なファイルを標的として暗号化し、被害者に対して「ファイルが暗号化された」ことを通知します。その後、ファイルを取り戻す条件として身代金を要求してきます。

主な標的となるファイルは以下の通りです。

• 動画ファイル
• 写真(.jpg)
• 重要なドキュメント(.doc、.pdf、.xls、.mpg、.zipなど)
• データベース
• アーカイブファイル

暗号化の過程で、Oonnランサムウェアは対象ファイルに「.oonn」という拡張子を追加し、ファイルを開けないようにします。例えば「1.jpg」は「1.jpg.oonn」に、「1.xls」は「1.xls.oonn」というように変化します。

ファイルの暗号化後、Oonnランサムウェアは「_readme.txt」という身代金要求メモを作成します。この通知文には、ビットコインで490ドルまたは980ドルの身代金を支払うよう記されており、admin@wsxdn.comなどのメールアドレスへの連絡を通じてファイルの復号手続きを行うよう指示されます。

注意: 攻撃者への連絡や身代金の支払いは絶対に行わないでください。復号ツールが正常に機能する保証はなく、さらに別のマルウェアを仕込まれる危険性もあります。

深刻なケースでは、Oonnランサムウェアがユーザーのファイルを完全に削除したり、他のマルウェアをシステムにダウンロードして悪質な活動を継続することもあります。

OonnランサムウェアはどうやってPCに侵入するのか?

先行する亜種と同様に、Oonnランサムウェアは実行可能ファイルを通じて拡散します。ユーザーは、トレントサイトなどの危険なサイトや、感染した添付ファイル・リンクを含むスパムメールから、これらのファイルをうっかりダウンロードしてしまうことがあります。これらの実行ファイルやリンクは、PCの脆弱性やインストール済みプログラムの弱点を突いて侵入します。

その他にも、以下のような感染経路が知られています。

• シェアウェア・フリーウェアへのバンドルインストール
• エクスプロイト(脆弱性攻撃)
• 怪しいウェブサイト(Webインジェクション)
• 偽のOSアップデート
• バンキングトロイの木馬
• 再パッケージされたインストーラー

注意: こうした典型的な配布手法が使われているにもかかわらず、Oonnランサムウェアは現在も毎日数百人規模のユーザーに感染させています。Djvuランサムウェアファミリーは定期的に新しい亜種をリリースしており、現時点でインターネット上で最も活発なランサムウェアおよびクリプトマルウェアの一つです。

Oonnランサムウェアの駆除方法

Oonnランサムウェアの目的はWindowsシステム自体の破壊ではなく(意図せずシステムが破損することはあります)、ファイルの暗号化とロックです。データの暗号化が完了すると、他のランサムウェアと同様に本体が自己削除される場合があります。

しかし、それでも駆除作業が必要です。その理由は以下の通りです。

• システム内に痕跡を残している可能性がある。Djvu亜種は他のマルウェアと一緒に配布されることで知られています。
• ブラウザに情報窃取用の要素をインストールしている恐れがあります。
• 駆除しないまま放置すると、復元したファイルが再び暗号化される危険性があります。

Oonnランサムウェアによって暗号化されたファイルを復元するには、以下の方法が考えられます。

• 信頼できるサードパーティ製の復号ツールを使って復号する
• ネットワーク付きセーフモードやシステムの復元を使ってOonnランサムウェアを削除する
• 高品質なサードパーティ製ツールでデータ復旧を試みる

Oonnランサムウェア駆除の手順

駆除ガイド

重要な注意点:

手動での駆除を試みる場合、ファイルを失うリスクが伴います。Oonnはサードパーティ製の復号ツールを拒否することがあり、その場合ファイルが永久に失われる恐れがあります。駆除作業を開始する前に、必ずバックアップを作成しておきましょう。

1. 強力なアンチランサムウェアでPCをスキャンする

Oonnランサムウェアのアルゴリズムは、通常のウイルス対策ソフトの機能や特徴を回避できる場合があります。フルシステムスキャンに対応した高品質なアンチマルウェアを使用することが重要です。

アンチマルウェアプログラムは、Oonnランサムウェアの検出に加えて、PC内の他のマルウェアも同時に検出・削除してくれます。運が良ければOonn自体も除去できるかもしれませんが、そのアルゴリズムは通常のマルウェア除去機能を上回ることが少なくありません。

2. ネットワーク付きセーフモードでOonnランサムウェアを削除する

ネットワーク付きセーフモードで再起動し、ファイルを復元する手順:

1. Windowsのログイン画面で電源ボタンを押します。
2. Shiftキーを押しながら「再起動」をクリックします。
3. 「トラブルシューティング」>「詳細オプション」>「スタートアップ設定」を選択します。
4. 「再起動」を押します。
5. スタートアップ設定の画面で「セーフモードとコマンドプロンプトを有効にする」を選択します。
6. コマンドプロンプトのウィンドウで「cd restore」と入力し、Enterキーを押します。
7. 続いて「rstrui.exe」と入力し、再度Enterキーを押します。
8. 表示されたウィンドウで「次へ」をクリックし、Oonnに感染する前のシステム復元ポイントを選択します。
9. 「次へ」をクリックします。

処理が完了したら、「はい」をクリックして復元を実行します。

3. 復号ツールで.oonnファイルを復号する

犯罪者が新たなマルウェアを開発し続けているため、復号ツールは常に更新されています。Oonnによって暗号化されたファイルを復号するには、Emsisoftの復号ツールを使用し、以下の手順に従ってください。

1. Emsisoftの公式サイトから復号ツールをダウンロードしてインストールします。
2. Emsisoftのツールを管理者権限で起動します。
3. 復号したいファイルを選択します。あるいは、Emsisoft復号ツールに必要なファイルを自動的に識別させることもできます。
4. 「Decrypt(復号)」ボタンをクリックして、復号処理を開始します。

ファイルの復号には時間がかかる場合があります。処理が完了すると、復号ツールから完了の通知が届きますので、終了までお待ちください。

4. 高品質なデータ復旧ツールでファイルを復元する

信頼できるサードパーティ製のデータ復旧ツールも、データの復元・回収に役立ちます。選択したツールに応じて、フルシステムスキャンを実行し、暗号化されたすべてのファイルの復元を指示してください。

まとめ

データ復旧が必要になる事態に陥らないことが何よりも大切です。ランサムウェア攻撃の多くは予告なしに発生しますが、中には防げるものもあります。ランサムウェアやその他のマルウェア感染を防ぐためには、PCを清潔な状態に保ち、怪しいサイトやトレントサイトを避けること、そして何より定期的なバックアップの実施が不可欠です。さらに、OSを常に最新の状態に保ち、アクティブなセキュリティソフトでPCを保護することも忘れないようにしましょう。