Orcus RAT(オルクスRAT)とは?感染手口と駆除方法を徹底解説

コンピューターの世界において「トロイの木馬」とは、悪意ある目的を隠しながら標的となる被害者へ侵入するマルウェアを指します。その名前は、ギリシャ神話に登場する「トロイアの木馬」――巧妙な策略によって都市トロイアが陥落した物語――に由来しており、この種のマルウェアは一見無害なものに偽装されているのが特徴です。

トロイの木馬にはさまざまな種類が存在し、その影響は非常に深刻です。マルウェアとして、ユーザーとデバイスの両方に被害をもたらします。本記事では、その中でも「Orcus RAT(リモートアクセストロイ)」に焦点を当てて詳しく解説します。

Orcus RATとは

Orcus RATは、高度な攻撃キャンペーンを通じて拡散されるコンピューターウイルスです。このマルウェアは特にビットコイン投資家を標的としており、金銭を奪うことを目的としています。2016年に登場して以来、世界各地の複数の地域で被害が確認されています。この脅威は重大な金銭的損失や個人情報の盗難を引き起こす恐れがあります。

「Armada」という名前で活動していたTwitterユーザーが、正規のリモート管理ツールとしてこのトロイを拡散した疑いで調査を受けました。調査の過程で、英国とカナダでは感染コンピューター数の増加が記録されました。このウイルスの拡散は、スピアフィッシングメールのキャンペーンやドライブバイダウンロードを通じて行われています。

Orcus RATは何をするのか?

Orcus RATはホストを見つけると、タスクマネージャー上で「PK Holdings.exe」というプロセスを実行します。その後、レジストリエントリにアクセスして設定を改変し、高度なシステムプラグインを有効化するなど、不審な活動を行います。最終的な目標は、攻撃者がシステムを遠隔から完全に制御できるようにすることです。これが実現すると、サイバー犯罪者は被害者の銀行情報を収集し、キーストロークを記録し、Webカメラで動画を撮影し、さらにはビットコインウォレットを略奪します。結果として、被害者は多大な金銭的損失を被ることになります。

米国とカナダがOrcus RATの主要な標的となってきましたが、セキュリティ専門家によれば、その他の地域にも被害が及んでいます。このトロイの開発者は2016年に40ドルでマルウェアの販売を開始しました。さらに、経験の浅いユーザー向けに、他のコンピューターを攻撃する手法を解説したチュートリアルまで提供していました。その手順には、マクロやスクリプト、CVE-2017-8759の脆弱性を突くエクスプロイトが仕込まれた不審なMS Office文書の利用が含まれていました。

2018年には、このウイルス攻撃が再び発生し、今度はフィッシングキャンペーンを通じて米国の納税者を標的にしました。Orcus RATはNetwireとのバンドル形式で配布されました。さらに2019年には再び姿を現し、今回はラマダンをテーマにしたコカ・コーラの動画の中にRATを隠すという新しい配布戦略が用いられました。どのようなキャンペーンであっても、RATの目的と機能は同じです――金銭的利益の獲得と銀行認証情報の入手です。

メールでユーザーを騙し、添付された悪意のあるコンテンツへアクセスさせる際に使われる文面の例は以下の通りです:

拝啓 お世話になっております。

弊社は台湾の貿易会社であり、旋盤・CNC工作機械、電気製品、ボルト&ナットを取り扱っております。つきましては、下記品目について至急お見積りをお願いいたします。

1. C.I.F 高雄港(台湾)
2. 航空便・海上便それぞれでの輸送
3. 機械の銘板の写真が必要でしたら添付いたします。

至急価格をご返信くださいますようお願いいたします。添付ファイルは当社の営業証明書/ライセンスおよび仕様書・参考資料です。

ご不明な点がございましたら、お気軽にお問い合わせください。

敬具

Amy Wu(営業部長)

PROTOM MACHINERY TOOLS LTD.

55 Chin Shan South Road Sec. 2, Taipei, Taiwan 10603

環境保護のため、印刷前にご検討ください

こうした目的を達成するため、Orcus RATの開発者はこのマルウェアに以下の機能を持たせています:

• DDoS攻撃の実行
• Webカメラ機能の乗っ取りとアクティビティライトの無効化
• システムリソースを利用した映像・音声の録画/録音
• 重要なシステム情報の取得
• スクリーンショットの撮影
• パスワードとブラウザCookieの収集

これらの活動の中で、ユーザーが唯一気づけるのはWebカメラのアクティビティライトが消えていることだけです。このRATのその他の機能はバックグラウンドで密かに実行されるため、一般的なコンピューターユーザーがその存在に気づくことは極めて困難です。このRATを確実に検出するには、強力なアンチマルウェアセキュリティソフトの導入が不可欠です。

Orcus RATの駆除方法

Orcus RATへの対処が難しい理由は、このウイルスがコンピューターの重要な領域に深く侵入することにあります。レジストリエントリを操作し、さまざまなプロセスをシステム内部に仕込みます。そのため、プログラム自体を削除しても、残された痕跡を通じて攻撃者が依然としてアクセスできる可能性があります。こうした不正なプロセスが残存すると、大量のCPUパワーとシステムリソースを消費することもあります。だからこそ、手動での対処と併せて自動ツールの活用を検討すべきなのです。

Orcus RAT駆除の手順

手動での削除作業は、自動ツールを使う場合に比べて複雑です。そのため、コンピュータースキルに自信がない方は、自動ソリューションの使用をお勧めします。ただし、手動で対応したい場合は、まず削除対象のトロイの名称を特定することから始めます。それが完了したら、以下の手順に従って削除を進めてください。

ステップ1:ネットワークありのセーフモードで起動する

1. Windows + Iキーを押して設定アプリを起動します。
2. 更新とセキュリティを探してクリックします。
3. 左側のペインから回復を選択します。
4. 詳細スタートアップセクションにある今すぐ再起動するをクリックします。
5. トラブルシューティングをクリックし、続いて詳細オプションを選択します。
6. スタートアップ設定を選択し、再起動を押します。
7. オプション5)ネットワークありのセーフモードを有効にするを選択します。

ステップ2:タスクマネージャーで不審なプロセスを終了する

1. Ctrl + Alt + Deleteを押し、タスクマネージャーをクリックして起動します。
2. 詳細情報をクリックし、バックグラウンド プロセスのセクションまでスクロールします。プロセス一覧の中に不審なものがないか確認します。
3. 不審なプロセスを右クリックし、ファイルの場所を開くを選択します。
4. タスクマネージャーに戻り、不審なプロセスを右クリックしてタスクの終了を選択します。
   • ステップ3と4を、すべての不審なプロセスに対して繰り返します。
5. 完了したら、開いておいたすべてのファイルの場所に移動し、中身を削除します。
6. 次にスタートアップタブを開き、不審なプログラムを特定します。右クリックして無効化を選択しましょう。

ステップ3:ウイルスファイルを削除する

マルウェアファイルはシステム内のさまざまな場所に潜んでいる可能性があります。以下の手順に従って見つけ出してください:

1. Windowsキーを押し、ディスククリーンアップと入力してEnterキーを押します。
2. クリーンアップするストレージドライブを選択します(OSがインストールされているドライブ、例えばCドライブを選ぶことをお勧めします)。
3. 削除するファイルの欄で、以下の項目を確認します:
   • インターネット一時ファイル
   • ダウンロード
   • ごみ箱
   • 一時ファイル
4. 完了したら、悪意のあるコンテンツが潜みやすい以下の場所も併せて確認しましょう:
   • %AppData%
   • %LocalAppData%
   • %ProgramData%
   • %WinDir%

以上が完了したら、システムを通常モードで再起動して問題ありません。

自動ソリューションでOrcus RATを駆除する

Orcusトロイを駆除する最も効果的な方法は、強力かつ信頼性の高いアンチマルウェアセキュリティソフトを使用することです。信頼できるセキュリティ製品は、定義データを適時に更新することで最新のマルウェアにも対応できます。したがって、評判の良いベンダーの製品を選び、システム内のすべてのマルウェアを完全に駆除することを心がけましょう。

セキュリティプログラムを公式サイトからダウンロードしてインストールします。インストール後、プログラムを起動し「フルスキャン」を選択します。システム全体のスキャンが完了し、検出されたすべての項目が表示されるのを待ちます。その後、推奨される操作を選択して、マルウェアを隔離または削除してください。

まとめ

Orcus Technologies社はOrcus RATの拡散により11万5,000カナダドルの罰金を科されましたが、それでもウイルスの拡散は完全には止まっていません。依然として危険性が高いため、深刻な被害と損失を避けるためには迅速な対処が不可欠です。リアルタイム保護を実現するために、強力なアンチマルウェアセキュリティプログラムをバックグラウンドで常時稼働させておくことを強くお勧めします。また、最新のセキュリティパッチの恩恵を受けるため、すべてのソフトウェアを常に最新の状態に保つことも重要なセキュリティ対策です。