無料会員登録
※この記事は2024年9月に更新されています。
QNAPをターゲットとしたeCh0raixランサムウェア（別名：QNAPCrypt）の感染被害が国内で拡大しています。このランサムウェアに感染すると拡張子が「.encrypt」に書き換わり、データが暗号化されてしまいます。この記事では、eCh0raixランサムウェアの特徴をはじめ、感染防止策や万が一感染した際の対処法について解説します。
QNAPを狙う類似のランサムウェア「.deadbolt」については下記の記事で詳しく解説しています。
目次
1. eCh0raixランサムウェアとは？
まずは、eCh0raixンサムウェアに感染した際に発生する事象や特徴について説明します。
感染すると起きる症状
eCh0raixランサムウェアに感染すると、パソコン上のデータの拡張子が「.encrypt」に書き換わりデータが暗号化されてしまいます。またそれだけでなく、このような警告画面が出現し身代金を要求されることがあります。「README_FOR_DECRYPT.txt」というファイル名で身代金を要求する内容が表示されます。
もし感染が疑われる場合は、二次感染を防ぐために端末を速やかにネットワークから切り離し、隔離する必要があります。
2. eCh0raixランサムウェアの特徴
①標的型攻撃タイプのランサムウェア
eCh0raixランサムウェアは、標的型攻撃タイプのランサムウェアです。eCh0raixランサムウェアのオフラインバージョンには、特定のターゲット用に変換された暗号化キーが埋め込まれており、一意の復号化キーがそれぞれ関連付けられています。 これは、2016年頃に日本で猛威をふるったランサムウェアLockyでも同様の手法が見られました。データを暗号化した後は、復号と引き換えに身代金を要求する構造です。
Lockyを含め、その他のランサムウェアの種類に関してはこちらの記事でご紹介しています。
②QNAP製もしくはSynology製NASをターゲットにしている
eCh0raixは、台湾のQNAP社製のNAS、または同様のOSライセンスを受けているQNAP NAS（IOデータ社製）、QNAPと同じ台湾メーカーであるSynology製のNASをターゲットにしたランサムウェアです。また、eCh0raixはQNAP製のNASに実装された「QTS」というOSの脆弱性を狙ったランサムウェアであることも判明しています。
③特定言語を利用している端末は暗号化しない
eCh0raixランサムウェアは、感染したNASの場所を特定するために使用言語をチェックし、ロシア語・ベラルーシ語・ウクライナ語に設定されている端末は暗号化しないと報告されています。
3. eCh0raixランサムウェアの感染対策方法
eCh0raixランサムウェアの感染を防止する対策方法として、以下の4つがあげられます。
- ①QTSを最新バージョンにアップデートする
- ②Malware Removerをインストールし最新バージョンに更新する
- ③ネットワークアクセス保護を有効にしアカウントを保護する
- ④パスワードをより強固なものに設定する
①QTSを最新バージョンにアップデートする
QTSは、QNAP 製「NAS」や「Photo Station」に実装されているOSです。これらのソフトウェアを利用している場合、各メーカーの公式HPからご利用のNASモデルの最新OSをダウンロードしましょう。Photo Station 6.0.3 より前のバージョンは脆弱性が存在し、ランサムウェアに感染する恐れも高いです。その後、ガイドに従いファームウェアも更新してください。
②Malware Removerをインストールし最新バージョンに更新する
既に脅威として認識されているマルウェアについては、QNAP社のApp Centerサイトで配布されているMalware Removerでスキャンを行うことで検出・除去ができます。なお、QNAPを狙う新しいランサムウェア「DeadBolt」なども登場しているので、Malware Removerは常に最新バージョンに更新しておきましょう。
③ネットワークアクセス保護を有効にしアカウントを保護する
ウイルス対策ソフトやネットワーク保護を行うことも、サイバー攻撃から情報を守り対策を行う際の一つの方法です。
④パスワードをより強固なものに設定する
そもそも簡単なIDやパスワード設定がなされているデバイスはその脆弱性を狙われやすいため、パスワード設定を強化することをおすすめします。管理者パスワードを初期設定のままにしている場合は、かならず任意の強固なパスワードに変更を行ってください。
4. 感染が疑われる際にすぐ行うべきこと
eCh0raixランサムウェアへの感染が疑われる場合、速やかに下記のことを行ってください。
①ネット接続をOFFにする
ランサムウェアの感染はネットワークを伝って拡大します。まだ感染していない他のデバイスへの感染を防ぐため、感染が疑われる端末をネットワークから切断しましょう。
②メールアドレス・パスワードを変更する
感染が疑われるデバイスで使用していたメールアドレス・パスワードを変更しましょう。
また、メールアドレスやパスワードの変更は、ランサムウェアに感染していない他のデバイスから行うようにしてください。感染したデバイスからメールアドレスやパスワードを変更したとしても、新たなメールアドレスやパスワードの情報が攻撃者に盗まれ、再び悪用されてしまいます。
③データの復号
eCh0raixランサムウェアに感染した場合、暗号化されたデータの復号を行う必要があります。後述の注意点にもありますが、データの復号を引き換えに身代金を要求される場合も考えられますが、犯人の要求に従って金銭を支払うことは絶対にしないでください。
データの復号は、ランサムウェアによるデータの暗号化の復号に対応している専門業者に相談をしましょう。
データの暗号化については以下の記事をご覧ください。
④感染経路調査
またランサムウェアに感染すると、情報漏えいなどの被害が発生している可能性があるほか、後続の攻撃者の侵入経路が開けられているリスクも考えられます。今後の社内のセキュリティ対策やコンプライアンスの観点から、感染経路など被害状況の調査も重要になってきます。
個人でこのような調査を行うことはほぼ不可能ですが、ランサムウェア感染経路調査に対応している業者に依頼することで個人では対応できない領域まで作業することが可能になります。
事態が悪化する前に、一度業者に問い合わせしてみることをおすすめします。
ランサムウェアについては以下の記事で紹介しています。
5. eCh0raixランサムウェアの復旧方法
感染防止策を行っても、eCh0raixランサムウェアに感染してしまった場合の復旧方法を説明します。
スナップショット機能を利用する
QNAP製のNASにはスナップショットを取得する機能があります。もし、定期的にスナップショットを取得する設定にしていた場合、ランサムウェアに感染しても以前のバージョンを復元することでデータを復旧できる可能性があります。
専門業者へ相談する
スナップショット機能が使用できない場合は他の手段での復旧が必要になります。ランサムウェアに感染すると復号ツールを用いてご自身で解決できる手法もありますが、このeCh0raixランサムウェアの復号ツールは未だ開発されていません。
また、ランサムウェアのバージョンに適合する復号ツールを見極めることは難しく、万一ランサムウェアのバージョンが更新されると復号ツールが直ぐに機能しなる可能性もあります。
大切なデータであれば、ランサムウェアの復旧に対応しているデータ復旧業者にデータの復号について相談することをおすすめします。
復旧に際しての注意点
①身代金は支払わない
復号と引き換えに仮想通貨などで身代金の支払いを求められることがあります。しかし、金銭を支払ってはいけません。身代金を支払ってもデータが復号される保証はなく、また身代金を支払うことで、支払った金銭が再び犯罪組織の資金源になってしまいます。
②攻撃者が提供してくるプログラムをダウンロードしない
攻撃者が何らかのプログラムを提供したとしてもダウンロードしてはいけません。プログラムファイルにウイルスが仕込まれており、更に事態が悪化する危険性が高いためです。
③無理に対処しようとせず専門家に相談を
感染の疑いがある場合には、専門業者に相談することをお勧めします。ランサムウェアへの感染が疑われる場合、状況が分からないまま放置すると感染被害が拡大し、業務停止による損失の発生や、個人情報の漏洩により顧客にも被害が及ぶ可能性があります。
そのような事態を防ぐために、万が一の場合は速やかに相談しましょう。ランサムウェアの対応実績がある復旧業者であれば安全かつ的確な対処が分かり、結果として被害を最小限に抑えることができます。
また単にデータを復号するだけでなく「情報漏えいがあったのか」「何が原因でランサムウェアに感染したのか」といった事後調査が必要です。しかし、個人での原因特定、および暗号化されたデータの復元（復号）作業には限界があるため、ランサムウェアの感染経路を適切に調査するには「フォレンジック調査」という方法が有効です。個人での対処が難しい場合は、条件に見合う適切な専門業者に相談することをおすすめします。
6 おすすめのフォレンジック調査業者
ランサムウェア感染時、フォレンジック調査に対応している業者の中でも、実績のある業者を選定しました。
デジタルデータフォレンジック
公式サイトデジタルデータフォレンジック
デジタルデータフォレンジックは、累計3万9千件以上の豊富な相談実績を持ち、全国各地の警察・捜査機関からの相談実績も395件以上ある国内有数のフォレンジック調査サービスです。
一般的なフォレンジック調査会社と比較して対応範囲が幅広く、法人のサイバー攻撃被害調査や社内不正調査に加えて、個人のハッキング調査・パスワード解析まで受け付けています。24時間365日の相談窓口があり、最短30分で無料のWeb打合せ可能とスピーディーに対応してくれるので、緊急時でも安心です。
運営元であるデジタルデータソリューション株式会社では14年連続国内売上No.1のデータ復旧サービスも展開しており、万が一必要なデータが暗号化・削除されている場合でも、高い技術力で復元できるという強みを持っています。調査・解析・復旧技術の高さから、何度もテレビや新聞などのメディアに取り上げられている優良企業です。
相談から見積りまで無料で対応してくれるので、フォレンジック調査の依頼が初めてという方もまずは気軽に相談してみることをおすすめします。
| 費用 | ★相談・見積り無料 まずはご相談をおすすめします |
|---|---|
| 調査対象 | デジタル機器全般：PC/スマートフォン/サーバ/外付けHDD/USBメモリ/SDカード/タブレット 等 |
| サービス | ●サイバーインシデント調査： マルウェア・ランサムウェア感染調査、サイバー攻撃調査、情報漏洩調査、ハッキング調査、不正アクセス（Webサイト改ざん）調査、サポート詐欺被害調査、Emotet感染調査 ●社内不正調査： 退職者の不正調査、情報持ち出し調査、横領・着服調査、労働問題調査、文書・データ改ざん調査、証拠データ復元 ●その他のサービス： パスワード解除、デジタル遺品調査、セキュリティ診断、ペネトレーションテスト（侵入テスト）、OSINT調査（ダークウェブ調査） 等 ※法人・個人問わず対応可能 |
| 特長 | ✔官公庁・法人・捜査機関への協力を含む、累計39,000件以上の相談実績 ✔企業で発生しうるサイバーインシデント・人的インシデントの両方に対応 ✔国際標準規格ISO27001/Pマークを取得した万全なセキュリティ体制 ✔経済産業省策定の情報セキュリティサービス基準適合サービスリストに掲載 ✔警視庁からの表彰など豊富な実績 ✔14年連続国内売上No.1のデータ復旧サービス(※)を保有する企業が調査 ※第三者機関による、データ復旧サービスでの売上の調査結果に基づく。(2007年～2020年) |
| 基本情報 | 運営会社：デジタルデータソリューション株式会社 所在地：東京都港区六本木6丁目10-1 六本木ヒルズ森タワー15階 |
| 受付時間 | 24時間365日 年中無休で営業（土日・祝日も対応可） ★最短30分でWeb打合せ（無料） |
7. まとめ
QNAPのNASを標的としたeCh0raixランサムウェアについて、特徴や感染防止策、復旧方法を解説しました。感染してしまうと自分だけでなく他の人まで感染させてしまう二次被害の危険性もあるため、今回紹介した対策をしっかりと行い、感染しないように注意しましょう。また、感染が疑われる際はネットワークからの隔離を速やかに行い、必要に応じて専門業者への相談も含めて対応策を検討してください。
![中小企業の情報瀬キィリティ相談窓口[30分無料]](/wp-content/uploads/2023/07/bnr_footer04.png)
ウイルス感染調査には「フォレンジック調査」という方法が存在します。フォレンジックとは、スマホやPCなどの電子機器や、ネットワークに記録されているログ情報などを解析・調査することで、社内不正調査やサイバー攻撃被害調査に活用される技術のことです。別名「デジタル鑑識」とも呼ばれ、最高裁や警視庁でも正式な捜査手法として取り入れられています。