無料会員登録
※この記事は2023年2月に更新されています。
QNAPをターゲットとしたeCh0raixランサムウェア（別名：QNAPCrypt）の感染被害が国内で拡大しています。このランサムウェアに感染すると拡張子が「.encrypt」に書き換わり、データが暗号化されてしまいます。この記事では、eCh0raixランサムウェアの特徴をはじめ、感染防止策や万が一感染した際の対処法について解説します。
QNAPを狙う類似のランサムウェア「.deadbolt」については下記の記事で詳しく解説しています。
1. eCh0raixランサムウェアとは？
まずは、eCh0raixンサムウェアに感染した際に発生する事象や特徴について説明します。
感染すると起きる症状
eCh0raixランサムウェアに感染すると、パソコン上のデータの拡張子が「.encrypt」に書き換わりデータが暗号化されてしまいます。またそれだけでなく、このような警告画面が出現し身代金を要求されることがあります。「README_FOR_DECRYPT.txt」というファイル名で身代金を要求する内容が表示されます。
もし感染が疑われる場合は、二次感染を防ぐために端末を速やかにネットワークから切り離し、隔離する必要があります。
2. eCh0raixランサムウェアの特徴
①標的型攻撃タイプのランサムウェア
eCh0raixランサムウェアは、標的型攻撃タイプのランサムウェアです。eCh0raixランサムウェアのオフラインバージョンには、特定のターゲット用に変換された暗号化キーが埋め込まれており、一意の復号化キーがそれぞれ関連付けられています。 これは、2016年頃に日本で猛威をふるったランサムウェアLockyでも同様の手法が見られました。データを暗号化した後は、復号と引き換えに身代金を要求する構造です。
Lockyを含め、その他のランサムウェアの種類に関してはこちらの記事でご紹介しています。
②QNAP製もしくはSynology製NASをターゲットにしている
eCh0raixは、台湾のQNAP社製のNAS、または同様のOSライセンスを受けているQNAP NAS（IOデータ社製）、QNAPと同じ台湾メーカーであるSynology製のNASをターゲットにしたランサムウェアです。また、eCh0raixはQNAP製のNASに実装された「QTS」というOSの脆弱性を狙ったランサムウェアであることも判明しています。
③特定言語を利用している端末は暗号化しない
eCh0raixランサムウェアは、感染したNASの場所を特定するために使用言語をチェックし、ロシア語・ベラルーシ語・ウクライナ語に設定されている端末は暗号化しないと報告されています。
3. eCh0raixランサムウェアの感染対策方法
eCh0raixランサムウェアの感染を防止する対策方法として、以下の4つがあげられます。
- ①QTSを最新バージョンにアップデートする
- ②Malware Removerをインストールし最新バージョンに更新する
- ③ネットワークアクセス保護を有効にしアカウントを保護する
- ④パスワードをより強固なものに設定する
①QTSを最新バージョンにアップデートする
QTSは、QNAP 製「NAS」や「Photo Station」に実装されているOSです。これらのソフトウェアを利用している場合、各メーカーの公式HPからご利用のNASモデルの最新OSをダウンロードしましょう。Photo Station 6.0.3 より前のバージョンは脆弱性が存在し、ランサムウェアに感染する恐れも高いです。その後、ガイドに従いファームウェアも更新してください。
②Malware Removerをインストールし最新バージョンに更新する
既に脅威として認識されているマルウェアについては、QNAP社のApp Centerサイトで配布されているMalware Removerでスキャンを行うことで検出・除去ができます。なお、QNAPを狙う新しいランサムウェア「DeadBolt」なども登場しているので、Malware Removerは常に最新バージョンに更新しておきましょう。
③ネットワークアクセス保護を有効にしアカウントを保護する
ウイルス対策ソフトやネットワーク保護を行うことも、サイバー攻撃から情報を守り対策を行う際の一つの方法です。
④パスワードをより強固なものに設定する
そもそも簡単なIDやパスワード設定がなされているデバイスはその脆弱性を狙われやすいため、パスワード設定を強化することをおすすめします。管理者パスワードを初期設定のままにしている場合は、かならず任意の強固なパスワードに変更を行ってください。
4. 感染が疑われる際にすぐ行うべきこと
eCh0raixランサムウェアへの感染が疑われる場合、速やかに下記のことを行ってください。
①ネット接続をOFFにする
ランサムウェアの感染はネットワークを伝って拡大します。まだ感染していない他のデバイスへの感染を防ぐため、感染が疑われる端末をネットワークから切断しましょう。
②メールアドレス・パスワードを変更する
感染が疑われるデバイスで使用していたメールアドレス・パスワードを変更しましょう。
また、メールアドレスやパスワードの変更は、ランサムウェアに感染していない他のデバイスから行うようにしてください。感染したデバイスからメールアドレスやパスワードを変更したとしても、新たなメールアドレスやパスワードの情報が攻撃者に盗まれ、再び悪用されてしまいます。
③データの復号
eCh0raixランサムウェアに感染した場合、暗号化されたデータの復号を行う必要があります。後述の注意点にもありますが、データの復号を引き換えに身代金を要求される場合も考えられますが、犯人の要求に従って金銭を支払うことは絶対にしないでください。
データの復号は、ランサムウェアによるデータの暗号化の復号に対応している専門業者に相談をしましょう。
データの暗号化については以下の記事をご覧ください。
④感染経路調査
またランサムウェアに感染すると、情報漏えいなどの被害が発生している可能性があるほか、後続の攻撃者の侵入経路が開けられているリスクも考えられます。今後の社内のセキュリティ対策やコンプライアンスの観点から、感染経路など被害状況の調査も重要になってきます。
個人でこのような調査を行うことはほぼ不可能ですが、ランサムウェア感染経路調査に対応している業者に依頼することで個人では対応できない領域まで作業することが可能になります。
事態が悪化する前に、一度業者に問い合わせしてみることをおすすめします。
ランサムウェアについては以下の記事で紹介しています。
5. eCh0raixランサムウェアの復旧方法
感染防止策を行っても、eCh0raixランサムウェアに感染してしまった場合の復旧方法を説明します。
スナップショット機能を利用する
QNAP製のNASにはスナップショットを取得する機能があります。もし、定期的にスナップショットを取得する設定にしていた場合、ランサムウェアに感染しても以前のバージョンを復元することでデータを復旧できる可能性があります。
専門業者へ相談する
スナップショット機能が使用できない場合は他の手段での復旧が必要になります。ランサムウェアに感染すると復号ツールを用いてご自身で解決できる手法もありますが、このeCh0raixランサムウェアの復号ツールは未だ開発されていません。
また、ランサムウェアのバージョンに適合する復号ツールを見極めることは難しく、万一ランサムウェアのバージョンが更新されると復号ツールが直ぐに機能しなる可能性もあります。
大切なデータであれば、ランサムウェアの復旧に対応しているデータ復旧業者にデータの復号について相談することをおすすめします。
復旧に際しての注意点
①身代金は支払わない
復号と引き換えに仮想通貨などで身代金の支払いを求められることがあります。しかし、金銭を支払ってはいけません。身代金を支払ってもデータが復号される保証はなく、また身代金を支払うことで、支払った金銭が再び犯罪組織の資金源になってしまいます。
②攻撃者が提供してくるプログラムをダウンロードしない
攻撃者が何らかのプログラムを提供したとしてもダウンロードしてはいけません。プログラムファイルにウイルスが仕込まれており、更に事態が悪化する危険性が高いためです。
③無理に対処しようとせず専門家に相談を
感染の疑いがある場合には、専門業者に相談することをお勧めします。ランサムウェアへの感染が疑われる場合、状況が分からないまま放置すると感染被害が拡大し、業務停止による損失の発生や、個人情報の漏洩により顧客にも被害が及ぶ可能性があります。
そのような事態を防ぐために、万が一の場合は速やかに相談しましょう。ランサムウェアの対応実績がある復旧業者であれば安全かつ的確な対処が分かり、結果として被害を最小限に抑えることができます。
また単にデータを復号するだけでなく「情報漏えいがあったのか」「何が原因でランサムウェアに感染したのか」といった事後調査が必要です。しかし、個人での原因特定、および暗号化されたデータの復元（復号）作業には限界があるため、ランサムウェアの感染経路を適切に調査するには「フォレンジック調査」という方法が有効です。個人での対処が難しい場合は、条件に見合う適切な専門業者に相談することをおすすめします。
6 おすすめのフォレンジック調査業者
ランサムウェア感染時、フォレンジック調査に対応している業者の中でも、実績のある業者を選定しました。
デジタルデータフォレンジック
公式HPデジタルデータフォレンジック
デジタルデータフォレンジックは、個人はもちろん、大手企業や警察からの依頼も多数解決しているため、実績・経験は申し分ないフォレンジック調査対応業者です。
マルウェア感染、不正アクセス、ランサムウェア感染、情報漏えい調査など法人を対象としたサイバーインシデントに幅広く対応している専門性の高い業者であり、突然のトラブルにもスムーズに対応することが出来ます。また警視庁からの捜査依頼実績も多数あることから実績面でも信頼ができ、費用面でも安心といえるでしょう。
| 費用 | ■相談から見積もりまで無料 ※機器の種類・台数・状態によって変動 |
|---|---|
| 調査対応機器 | NAS/サーバー（RAID等も対応）、パソコン(ノート/デスクトップ)、外付けHDD、SSD、USBメモリ、ビデオカメラ、SDカード、スマートフォンなど |
| 調査実施事例 | 警察からの捜査依頼(感謝状受領)、退職者調査、社内不正調査、情報持出し調査、マルウェア・ランサムウェア感染調査など |
| 特長 | ■大手企業や警察を含む累計14,233件の相談実績 ■「Pマーク」「ISO27001」取得済のセキュリティ ■駆けつけ対応のサービスあり(法人のみ) |
デジタルデータフォレンジックのさらに詳しい説明は公式サイトへ
7. まとめ
QNAPのNASを標的としたeCh0raixランサムウェアについて、特徴や感染防止策、復旧方法を解説しました。感染してしまうと自分だけでなく他の人まで感染させてしまう二次被害の危険性もあるため、今回紹介した対策をしっかりと行い、感染しないように注意しましょう。また、感染が疑われる際はネットワークからの隔離を速やかに行い、必要に応じて専門業者への相談も含めて対応策を検討してください。
![中小企業の情報瀬キィリティ相談窓口[30分無料]](/wp-content/uploads/2023/07/bnr_footer04.png)
ウイルス感染調査には「フォレンジック調査」という方法が存在します。フォレンジックとは、スマホやPCなどの電子機器や、ネットワークに記録されているログ情報などを解析・調査することで、社内不正調査やサイバー攻撃被害調査に活用される技術のことです。別名「デジタル鑑識」とも呼ばれ、最高裁や警視庁でも正式な捜査手法として取り入れられています。