Ambrosiaランサムウェアとは?感染経路と削除・ファイル復旧の完全ガイド

2020年上半期、ランサムウェア攻撃が急増しました。新型コロナウイルス(CoViD-19)パンデミックの影響でテレワークが定着する中、サイバー犯罪者は技術革新を悪用し、より破壊力の高い攻撃手法を用いるようになっています。その中でも新たな脅威として注目されているのが「Ambrosia(アンブロジア)ランサムウェア」です。

Ambrosiaランサムウェアとは?

Ambrosiaは、サイバーセキュリティ専門家によってランサムウェアとして分類されているマルウェアです。2020年8月、セキュリティ研究者「Xiaopao」が最初に発見し、Scarab(スカラブ)ランサムウェアファミリーに属することが確認されました。Scarabファミリーは2017年に初めて出現し、2020年にはAmbrosiaを含む複数の亜種が再び活動を活発化させています。

Ambrosiaランサムウェアの挙動

Ambrosiaランサムウェアは、主にユーザーのPC内にある重要なファイルを標的とします。ファイルを暗号化し、ファイル名を改変した上で、身代金要求のメモを残すのが特徴です。身代金要求メモには、ファイルが暗号化された旨が記載され、復号のためには身代金の支払いが必要であると伝えてきます。

標的となるファイルの種類

• 画像・写真(.jpg)
• 音楽ファイル
• 動画ファイル
• データベース
• .doc、.pdf、.xls、.mpg、.zipなどの重要ドキュメント
• アーカイブファイル

ポイント: これらの日常的によく使われるファイルを狙うことで、ユーザーへの被害を最大化しようとするのです。

Ambrosiaは、暗号化したファイルに「.ambrosia」という拡張子を付加します。他の多くのランサムウェアが元のファイル名に拡張子を追加するだけであるのに対し、Ambrosiaはファイル名全体をランダムな文字列に置き換えた後、「.ambrosia」拡張子を付けます。

例えば、「1.jpg」というファイルは「2g000000000p0zw9VkBVWnK5dMRu2hk8.ambrosia」のような名前に変更されます。これにより、ユーザーは自分のデータを識別できなくなります。

暗号化完了後、Ambrosiaは「HOW TO RECOVER ENCRYPTED FILES.txt」という身代金要求メモを作成します。メモには、攻撃者への連絡先メールアドレス(admin@wsxdn.com)と、Bitcoinでの身代金支払いによるファイル復元の案内が記載されています。

注意: 攻撃者への連絡や身代金の支払いは推奨されません。復号ツールが実際に機能する保証はなく、さらなるマルウェアを仕込まれるリスクもあります。

Ambrosiaランサムウェアの感染経路

サイバー犯罪者は、自らが作成したマルウェアをPCに侵入させるためのさまざまな手法を開発しています。また、できるだけ多くの犠牲者へ感染を広げるための配布戦術も複数持っています。研究者によると、Ambrosiaランサムウェアは以下のような経路で拡散します。

• 悪意ある迷惑メールの添付ファイルや埋め込みリンク
• シェアウェアやフリーウェアへのバンドルインストール
• 海賊版(無料)ソフトウェアや不正なソフトウェアインストーラー
• 保護されていないリモートデスクトップ(RDP)接続
• エクスプロイトキットやソフトウェアの脆弱性
• 偽のウイルス感染通知やFlash Playerアップデート

Ambrosiaランサムウェアの削除方法

PC内にAmbrosiaランサムウェアを発見したら、速やかに除去する必要があります。放置すると、以下のような二次被害が発生する恐れがあります。

• 他のマルウェア亜種のインストール
• ブラウザに情報窃取プログラムを仕込まれる
• 新規ファイルや復旧済みファイルの再暗号化

以下に、Ambrosiaランサムウェアの具体的な除去手順を紹介します。

対策1:プロフェッショナルなアンチマルウェアツールでシステムをスキャン

Ambrosiaランサムウェアは強力な暗号化アルゴリズムを使用しており、一般的なウイルス対策ソフトでは対応できない場合があります。ランサムウェア対策機能を備えた信頼性の高いアンチマルウェアツールを使用し、PCのフルシステムスキャンを実行しましょう。

ただし、強力な暗号化アルゴリズムを使用しているため、アンチマルウェアツールだけで確実に解決できるとは限りません。幸運であれば、ツールがAmbrosiaおよびPC内の他のマルウェアを検出・除去してくれるでしょう。

対策2:ネットワーク機能付きセーフモードで削除

ネットワーク機能付きセーフモードでPCを起動する手順(事前に安定したネットワーク接続を確保してください):

1. Windowsログイン画面で電源ボタンを押します。
2. Shiftキーを押しながら「再起動」をクリックします。
3. 「トラブルシューティング」→「詳細オプション」→「スタートアップ設定」を選択します。
4. 「再起動」をクリックします。
5. スタートアップ設定の画面で、「セーフモードとネットワークを有効にする」(リストの5番目)を選択します。

セーフモードで起動したら、インストール済みアプリの中からAmbrosiaランサムウェアを見つけて削除できます。

対策3:「システムの復元」を使って削除

システムの復元は、ネットワーク機能付きセーフモードと併用することをおすすめします。

1. Windows起動時にF8キーを連打し、「詳細オプション」メニューを表示させます。
2. リストから「セーフモードとコマンドプロンプト」を選択してEnterキーを押します。
3. コマンドプロンプト画面で cd restore と入力し、Enterキーを押します。
4. 続けて rstrui.exe と入力し、Enterキーを押します。
5. 新しいウィンドウで「次へ」をクリックし、Ambrosia感染前のWindows復元ポイントを選択して「次へ」をクリックします。
6. 処理完了後、「はい」をクリックして復元を実行します。

PCを以前の正常な状態に復元できたら、プロフェッショナルなアンチマルウェアツールをダウンロードし、フルシステムスキャンを実行して、PCに残存するAmbrosia関連ファイルを完全に除去しましょう。

対策4:高品質なサードパーティ製ツールでファイルを復旧

「.ambrosia」で暗号化されたデータを復元・復旧するには、高品質なサードパーティ製データ復旧ツールを利用します。選択したツールによって手順は異なりますが、一般的にはフルシステムスキャンを実行し、暗号化されたすべてのファイルの復旧を指示します。

データ復旧ツールにより、データを取り戻し、クリーンアップして、Ambrosiaランサムウェア攻撃前の正常な状態に戻すことが期待できます。

まとめ

本ガイドが、Ambrosiaランサムウェアの理解と除去の一助となれば幸いです。ほとんどのランサムウェア攻撃は予告なく発生しますが、適切な対策によって防げるものもあります。

PCを守るためには、強力なアンチマルウェアソフトを導入することが重要です。さらに、不審なメールの添付ファイルやリンクを開かないこと、フリーウェアや海賊版ソフトを避けること、強固なパスワードを使用することも心がけましょう。