ランサムウェアがファイルを暗号化していることに気づく方法

通常は次の順に現れる初期の兆候

何に注意すればよいかが分かっていれば、暗号化は目立つものです。何かが表示される前に、パソコンはそれぞれ単独では珍しい程度の動作をいくつも行い、それらが重なると疑いが強まります。

これらのうち1つだけなら、無害な理由で説明できることがあります。バックアッププログラムは多くのファイルにアクセスしますし、インストーラーがエンコードされたコマンドを実行することもあります。しかし、2つか3つが同じ1分間に重なる場合は、無害な理由では説明できません。

• シャドウコピーとバックアップカタログが削除されます。元に戻すための手段を奪う段階です。
• 原因となるプログラムが開いていないのに、ディスクが激しく動作し続けます。
• ファイル名は変わらないのに開けなくなったり、見たことのない拡張子が付いたりします。
• 同じ名前のテキストファイルが、複数のフォルダーに一度に現れます。
• 指示していないドライブを、BitLocker が突然暗号化しようとします。

暗号化されたファイルが元の姿に見えなくなる理由

ほとんどすべてのファイル形式は、決まったシグネチャで始まります。Word 文書は PK、PDF は %PDF、PNG は固有の8バイトです。暗号化はファイル全体を置き換えるため、このシグネチャも失われます。

これと組み合わせて使う指標がもう1つあります。ファイル内のランダムさは数値化でき、通常の内容では低い値になります。普通の文章は1バイトあたり約4.2ビット、JPEG や ZIP のように圧縮済みの形式は5〜7の間です。暗号化されたデータは7.5を超えます。それが暗号化の目的だからです。どちらの指標も単独ではあまり意味がありません。ZIP が高い値を示すのは正常ですし、壊れたファイルにヘッダーがないのも正常です。シグネチャが失われ、ランダムさが増したファイルは、書き換えられたと判断できます。

最初の1分間にすべきこと

ここで大切なのは速さより順序です。多くの方がとっさにしてしまう、ファイルを開いて被害の程度を確かめるという行動は、間違いです。

経験のある人に相談する前に、身代金を支払わないでください。ディスク上に Windows を再インストールしないでください。証拠が失われ、唯一の鍵情報が消えることもあります。

• ネットワークを切断します。ケーブルを抜き、Wi-Fi をオフにします。共有ドライブを通じて、1台の被害が10台に広がります。
• 再起動しないでください。鍵のなかにはメモリ上にしか存在しないものがあり、再起動すると失われます。
• 身代金要求のメッセージと拡張子を、スマートフォンで撮影します。種類の特定には、その両方が必要です。
• 暗号化されたファイルはそのままの場所に残してください。一部のファミリーには無料の復号ツールがあり、元のファイルが必要になります。

ユーザーモードのプログラムに現実にできること

セキュリティ分野の宣伝がたいてい事実から外れるのはこの点ですので、限界をはっきり述べます。カーネルドライバーのないプログラムは、他のプログラムとディスクの間に割って入ることはできません。防壁にはなれません。なれるのは、侵入を知らせる仕掛けと、記録を残す目撃者です。

Rain Cleaner は、重要なフォルダーにおとりのファイルを書き込みます。1フォルダーにつき3つで、名前は、アルファベット順の一覧の先頭付近、中ほど、末尾にそれぞれ1つずつ来るように付けられています。フォルダーを暗号化するプログラムは、順番にたどっていくためです。見たものは、あるスケールで評価されます。怪しいコマンドの形だけでは警告を出せても、プログラムを止められるのは、シャドウコピーの削除、おとりの書き換え、セキュリティサービスの強制終了といった、実際に完了した行為だけです。さらに、各行に直前の行のハッシュを含む記録を書き込みます。そのため、行が削除されても、きれいに消えるのではなく、目に見える欠落として残ります。

誰も予想しない BitLocker のパターン

攻撃のなかには、独自の暗号化を使わないものがあります。ご自身には見えない鍵で BitLocker をオンにし、ご自身の鍵を削除して立ち去ります。データは、設計どおりに動作している Microsoft の機能で暗号化されます。

Windows はこれを記録します。保護機能が一時停止されるとイベント 773、削除されるとイベント 776 です。BitLocker を設定した覚えがないのに、イベントログにこのどちらかがある場合は、すぐに確認する価値があります。