HelloKittyランサムウェアとは?CD Projektへの攻撃事例と駆除・対策方法を徹底解説

ランサムウェアとは、悪意のある開発者がユーザーの個人ファイルを攻撃し、ロックするために用いる危険なマルウェアです。ロック解除と引き換えに、被害者から身代金を要求するのが特徴です。この種のウイルスは時間とともに進化し、暗号化アルゴリズムを絶えず変更するため、ファイルを復号できるツールを見つけることは極めて困難になっています。そのため、多くの場合、ユーザーに残された選択肢は次の2つだけです。ファイルを諦めてウイルスを除去するか、犯人に金銭を支払い、約束どおりファイルが返却されることを願うかのどちらかです。ゲームスタジオとして知られるCD Projektは、HelloKittyランサムウェアの攻撃を受けた際に、まさにこの状況へ直面しました。

「泥棒に仁義はない」という言葉があるように、サイバー犯罪者にお金を支払うことは強くお勧めします。たとえ1つのファイルだけ無料で復号してみせて「誠意」を示すようなことがあっても、支払いに応じるべきではありません。あなたのファイルが偶然ロックされたわけではありません。復号を持ちかけてくる相手こそ、プライバシーを侵害し、個人データへのアクセスを遮断した張本人なのです。彼らの言葉を疑ってかかるのは、当然の権利と言えるでしょう。

HelloKittyランサムウェアは、企業を標的とすることで悪名高いマルウェアであり、感染したファイル名の末尾に「.crypted」という拡張子を付加します。暗号化が完了すると、復号キーは犯人のもとへ送信され、ファイルへのアクセスを回復できるのは攻撃者だけとなります。

HelloKittyランサムウェアは何をするのか?

HelloKittyランサムウェアは、同種の他のウイルスと比べて挙動が異なり、より複雑です。その動作を理解するために、CD Projektへの攻撃を例に挙げてみましょう。この攻撃では、同社のゲームに関連するサーバーからソースコードがコピーされ、投資家向け資料、会計情報、法務・人事関連ファイルなども盗み出されました。さらにサーバー自体も暗号化されています。攻撃者はその後、「身代金の要求に応じなければファイルを公開する」と脅迫しました。

この攻撃から学べる重要な教訓は、被害企業が要求に屈しなかったという点です。CD Projektは犯罪者との交渉を一切行わないことを公表し、事件を捜査当局に引き渡しました。これは非常に模範的な対応だったと言えます。

HelloKittyランサムウェアは、暗号化処理を終えると、次のような身代金要求メモを残します。

!!!!!!!!!!!!! Hello CD PROJEKT !!!!!!!!!!!!!

Your have been EPICALLY pwned!!(お前は完全にハッキングされた)

Cyberpunk 2077、Witcher 3、Gwent、そして未発表のWitcherのソースコードをPerforceサーバーから丸ごとコピーしたぞ!!!

会計、管理、法務、人事、投資家関係など、すべての文書も入手済みだ!

さらに、お前たちのサーバーをすべて暗号化した。ただし、バックアップから復旧できるだろうことは分かっている。

合意に至らなければ、ソースコードは売却またはネット上にリークされ、文書は我々のゲームジャーナリストの連絡先に送られる。会社の評判は地に落ち、より多くの人々にお前たちの会社の体質が露呈するだろう。投資家の信頼を失い、株価はさらに暴落する!

48時間以内に連絡しろ。

上記のメモは、攻撃後にCD Projekt宛てに送られたものです。同社は素早く動き、24時間以内に声明を公表して攻撃の事実を一般に知らせました。一方、無差別に攻撃を受けた一般ユーザーには、次のような内容のテキストファイルが表示されます。

Hello dear user.(こんにちは、親愛なるユーザー)

Your files have been encrypted.(あなたのファイルは暗号化されました)

— どういうこと?!

ファイルの内容が改変されました。特別な鍵なしでは元に戻せません。

— 特別な鍵はどうやって手に入れるの?

お金を支払えば、こちらで復号プログラムと手順をご案内します。

— 支払い方法は?

1) TORブラウザをダウンロードしてください。やり方が分からなければ検索してください。

2) TORブラウザで指定の.onionサイトを開いてください。

3) チャット内の指示に従ってください。

ランサムウェア攻撃の最終目的は、被害者の恐怖心につけ込み、犯人の要求に屈させることにあります。しかし、支払ったからといってファイルが必ず戻ってくる保証はありませんし、さらなる金銭要求が続く可能性もあります。また、支払いは彼らの活動を支援することを意味し、「儲かるビジネスだ」と証明することになり、罪のない人々への攻撃を続ける口実を与えてしまいます。

HelloKittyランサムウェアの駆除方法

現時点で、HelloKittyランサムウェアによって暗号化されたファイルを復号できる公式ツールは存在しません。そのため、解決策を探す際には、別の詐欺に遭わないよう十分注意が必要です。「ランサムウェアの復号ツール」と称してソフトを販売しながら、実際には何の役にも立たない無価値なソフトを掴ませる詐欺被害の報告が多数寄せられています。

最善の対応は、ウイルスを完全に除去することです。まず、暗号化されたファイルをすべて隔離された外付けドライブにバックアップしましょう。その後、感染したコンピュータを家庭や職場のネットワークから切断し、同じネットワーク上の他のデバイスへのHelloKittyランサムウェアの拡散を防ぎます。バックアップをお持ちの場合でも、ウイルスが完全に除去されたと確信できるまで復元作業は行わないでください。

システムの準備が整ったら、以下の対策を実施しましょう。

対策#1:強力なアンチマルウェアでスキャン・検出・駆除を行う

インターネット上には数多くのセキュリティ製品が溢れていますが、正しい製品を選ぶことが重要です。ウイルスを永久に駆除するためには、実績のある推奨アンチマルウェアセキュリティソフトの使用をお勧めします。

1. セキュリティソフトをインストールして起動します。
2. フルスキャン(Full Scan)を選択し、処理が完了するまで待ちます。
3. 検出された脅威に対して削除(Remove)または隔離(Quarantine)を選択します。
4. Windows + Iキーを押して設定(Settings)ウィンドウを開きます。
5. アプリ(Apps)カテゴリを選択し、インストール済みプログラムの一覧から、見覚えのないものやHelloKittyランサムウェアの攻撃の直前・最中にインストールされたと思われるものを探します。
6. 不審なアプリを見つけたらクリックし、隣にあるアンインストール(Uninstall)ボタンを選択します。
7. 完了したらウィンドウを閉じます。

対策#2:暗号化されたファイルをすべて削除する

暗号化ファイルのバックアップが完了していれば、ウイルスの痕跡を残さないために、コンピュータ上の元ファイルを消去しましょう。手順は以下のとおりです。

1. エクスプローラ(File Explorer)を開き、個人データが保存されているドライブを特定します。ファイルがWindows OSと同じドライブにある場合は、このステップをスキップできます。
2. 対象のストレージドライブを右クリックし、フォーマット(Format)を選択します。画面の指示に従ってフォーマットを完了させます。
3. Windowsキーを押して「復元ポイント(Restore Point)」と入力し、Enterキーを押します。
4. システム保護(System Protection)の下にあるシステムの復元(System Restore)をクリックし、次へ(Next)を選択します。
5. 感染発生前に作成された復元ポイントを選択します。
6. これによりシステムは正常な状態へ戻ります。

まとめ

HelloKittyランサムウェアは氷山の一角にすぎません。世の中にはまだ多くのウイルスが機会を伺っています。常に備えを怠らず、HelloKittyランサムウェアから自分自身を守る方法を把握しておきましょう。信頼できるアンチマルウェアセキュリティソフトを常時バックグラウンドで稼働させ、あらゆる種類のマルウェアからリアルタイム保護を受けることが重要です。この種のウイルスについての知識を深め、インターネットを安全に楽しみましょう。