無料会員登録
ランサムウェアに感染してファイルが暗号化されると、「無料で使える復号ツールはないか」「身代金を払わずにデータを戻せないか」と考える方も多いでしょう。実際に、一部のランサムウェアではセキュリティ機関やベンダーから無料の復号ツールが公開されています。
ただし、復号ツールはすべてのランサムウェアに使えるわけではありません。攻撃グループやファミリー、亜種によって暗号化方式や鍵の管理方法が異なるため、対応していないツールを使用しても復号できないことがあります。また、出所不明の「万能復号ツール」を実行すると、二次感染やデータ破損につながるおそれもあります。
さらに、復号だけを急いで感染端末へツールを実行したり、バックアップをすぐに接続したりすると、残存しているマルウェアによって再び暗号化される可能性があります。そのため、感染端末の隔離、証拠保全、ランサムウェアの種類特定、侵入経路の確認を行ったうえで復旧を進めることが重要です。
そこで本記事では、ランサムウェアの無料復号ツールを安全に探す方法、復号前に行うべき初動対応、復号できない場合の復旧方法、フォレンジック調査で侵入経路や情報流出を確認する方法までを解説します。
ランサムウェアの無料復号ツールを使う前に確認すること
ランサムウェアに感染した場合は、すぐに復号ツールを実行するのではなく、まず被害拡大を止め、暗号化されたデータや攻撃の痕跡を保全します。
感染端末をネットワークから隔離する
ファイル暗号化やランサムノートが確認された場合は、対象端末やサーバーをネットワークから切り離します。
有線LANであればLANケーブルを抜き、Wi-FiやVPNも切断してください。共有フォルダやNASへ接続したままにすると、暗号化対象が広がる可能性があります。
ただし、調査が必要な場合は、端末の電源断や再起動によって揮発性の情報が失われることがあります。進行中の破壊がない場合は、画面や状態を記録したうえで判断してください。
暗号化ファイルと身代金要求文を保全する
暗号化されたファイルのサンプル、変更された拡張子、READMEやDECRYPTなどの身代金要求文を保存します。
復号ツールが対応しているランサムウェアか判断する際に、これらの情報が手がかりになります。
- 暗号化されたファイルを複数保存します。
- 身代金要求文のファイル名と全文を保存します。
- 変更後の拡張子を記録します。
- 警告画面やデスクトップを撮影します。
- 異常に気づいた日時を記録します。
復号ツールはコピーしたデータで試す
無料の復号ツールを見つけても、暗号化された原本ファイルへ直接実行することは避けます。
まず暗号化ファイルのコピーを作成し、隔離した検証環境で復号できるかを確認してください。復号処理によってファイルが破損した場合でも、原本を残しておけば別の方法を試せます。
バックアップをすぐに接続しない
バックアップが存在していても、感染端末へすぐ接続することは避けてください。
ランサムウェアや攻撃者のアクセス経路が残っている場合、復旧したバックアップまで再暗号化される可能性があります。
侵入経路の遮断とマルウェア除去を確認した後、安全な環境へ段階的に復元することが重要です。
ランサムウェアの種類を特定する
無料復号ツールが利用できるかどうかは、ランサムウェアの種類によって決まります。
身代金要求文、拡張子、暗号化ファイル、EDRの検知名などを確認し、どのファミリーに感染した可能性があるかを調べます。
「ランサムウェアだから復号ツールを使う」のではなく、「対応するファミリーだと確認してからツールを使う」ことが重要です。
ランサムウェアの無料復号ツールを探す方法
復号ツールは、セキュリティ機関やセキュリティベンダーなど信頼できる提供元から取得してください。
No More Ransomで対応ツールを探す
No More Ransomは、ランサムウェア被害者向けに復号ツールや情報を公開している国際的なプロジェクトです。
複数のランサムウェアファミリーに対応した無料の復号ツールが掲載されており、まず確認したい代表的なサイトです。
ただし、一覧に似た名前があっても、亜種や暗号化方式が異なれば利用できない場合があります。
警察庁が公開する復号ツールを確認する
警察庁では、Phobosや8Baseなど一部のランサムウェアについて復号ツールや利用方法を公開しています。
対象ファミリーに一致する場合は、公式の利用ガイドに従って使用してください。
復号ツールがセキュリティ製品で検知される場合もありますが、自己判断で本番端末のセキュリティ機能を無効化するのではなく、配布元やツールの正当性を確認したうえで隔離環境で検証します。
セキュリティベンダーの公式ツールを確認する
Emsisoft、Kaspersky、Bitdefender、Trend Microなどのセキュリティベンダーが、一部のランサムウェア向けに復号ツールを提供している場合があります。
No More Ransomなどで対応ファミリーを確認し、案内されたベンダーの公式ページから取得してください。
ランサムウェア名が一致しているか確認する
同じ拡張子を使用する別のランサムウェアもあるため、拡張子だけでファミリーを判断することは危険です。
身代金要求文、暗号化ファイルの特徴、メールアドレス、EDRの検知名など複数の情報を照合してください。
「万能復号ツール」をうたうサイトには注意する
「どんなランサムウェアでも復号できる」「復号率100％」などとうたう無名サイトからツールを取得することは避けてください。
不正プログラムを実行させたり、復号対象としてアップロードしたファイルを窃取したりする二次被害につながる可能性があります。
ランサムウェアの種類を特定するために確認する情報
復号可否を判断するには、暗号化されたファイルだけでなく、身代金要求文や端末・サーバーの記録も確認します。
暗号化後のファイル拡張子
ランサムウェアによっては、暗号化後に独自の拡張子を付けることがあります。
ただし、「.locked」など複数のランサムウェアで利用される文字列もあるため、拡張子だけでは確定できません。
身代金要求文の内容
身代金要求文のファイル名、文章、連絡先、TORサイトへの案内などは、ファミリー特定の手がかりになります。
調査会社へ提供する場合は、ウォレットやメールアドレスなどセンシティブな情報を伏せたコピーを用意してもよいでしょう。
暗号化ファイルの特徴
暗号化ファイルのヘッダーや末尾などに、ランサムウェア固有の識別情報が追加される場合があります。
暗号化ファイルのSHA-256などを取得しておくと、調査時の識別や証拠管理にも役立ちます。
暗号化前後の同一ファイル
バックアップなどに暗号化前の同一ファイルが残っている場合は、暗号化前後のファイルペアが識別や復号検証に役立つことがあります。
ただし、安全確認前にバックアップを感染環境へ接続しないよう注意してください。
EDR・イベントログ・ネットワークログ
EDRの検知名、実行ファイル、PowerShell、Windowsイベントログ、SMB・RDP・VPNなどの記録から、攻撃に使われたマルウェアや侵入経路を確認します。
復号だけでなく、再侵入を防ぐためにも重要な証拠です。
被害を受けたOS・NAS・ESXiなどの環境
Windows PC、ファイルサーバー、NAS、Linux、ESXiなど、被害対象によって想定されるランサムウェアは異なります。
どのシステムが最初に暗号化されたかも確認してください。
無料復号ツールが使えない場合の復旧方法
現在のランサムウェアでは、無料の復号ツールが存在しないケースも少なくありません。その場合は、バックアップやスナップショットなどからの復旧を検討します。
オフラインバックアップから復元する
ランサムウェアから切り離されていたオフラインバックアップや不変バックアップがある場合は、有力な復旧手段になります。
ただし、攻撃者が侵入した後のバックアップにはマルウェアや不正設定が含まれている可能性があります。侵害時期を確認し、安全な世代を選んでください。
クラウドの世代管理やバージョン履歴を確認する
OneDrive、SharePoint、クラウドストレージなどでは、バージョン履歴や削除済みデータから復元できる場合があります。
ランサムウェアによる暗号化ファイルが同期された場合でも、以前の世代が残っていないか確認してください。
サーバーやVMのスナップショットを確認する
仮想環境やクラウド上のサーバーでは、攻撃前のスナップショットが残っていないか確認します。
ただし、攻撃者がバックアップやスナップショットを削除しているケースもあるため、管理操作ログも確認する必要があります。
残存している未暗号化データを保全する
暗号化されずに残っている端末や共有ストレージがある場合は、感染環境から切り離したうえでデータを保全します。
無理に復旧作業を続けると、未暗号化データまで被害を受ける可能性があります。
クリーンな環境へ再構築する
復旧時は、単にランサムウェアの実行ファイルを削除するだけでは不十分な場合があります。
侵入経路、永続化、不正アカウントなどを確認し、必要に応じてクリーンな環境へ再構築したうえでバックアップを復元します。
復号できても侵入経路を放置しない
無料の復号ツールでファイルを戻せたとしても、ランサムウェアが侵入した原因が解消されたわけではありません。
復号と同時に、侵入経路・横展開・情報流出・残存マルウェアを確認することが重要です。
ランサムウェア復号ツールを使う際の注意点
無料復号ツールを使う場合は、提供元、対象ファミリー、実行環境などを確認します。
出所不明のツールを実行しない
検索結果や掲示板で見つけた実行ファイルを安易にダウンロードしないでください。
復号ツールを装ったマルウェアである可能性があります。
原本ファイルへ直接実行しない
復号ツールの不具合や対象ファミリーの誤判定によってファイルが破損する可能性があります。
暗号化ファイルの原本を保管し、コピー上で検証してください。
セキュリティ製品を安易に無効化しない
復号ツールがセキュリティ製品で検知されても、すぐに除外設定へ追加したり、DefenderやEDRを停止したりしないでください。
公式配布元、デジタル署名、ハッシュなどを確認し、必要に応じて隔離環境で検証します。
感染環境へバックアップを接続しない
復号がうまくいかないからといって、感染原因を除去する前にバックアップを接続すると、バックアップまで暗号化される可能性があります。
復号成功だけで復旧完了と判断しない
ランサムウェア攻撃では、暗号化前にデータを窃取して二重恐喝を行うケースがあります。
ファイルが復号できても、情報流出や攻撃者の永続化が残っていないか確認する必要があります。
ランサムウェアの種類や復号可否が分からない場合はフォレンジック調査会社に相談する
身代金要求文や拡張子を確認しても、ランサムウェアの種類を特定できない場合があります。また、無料復号ツールが利用できても、どの端末から感染したのか、情報が外部へ持ち出されていないかまでは判断できません。
フォレンジック調査では、感染端末やサーバー、EDR、Windowsログ、VPN、ネットワーク、クラウドなどの記録を分析し、ランサムウェアの種類、侵入経路、横展開、暗号化開始時刻、情報流出の可能性などを確認します。
復旧を急いで端末を初期化したり、ログを削除したりすると、侵入経路や情報流出を判断するための証拠が失われるおそれがあります。暗号化されたデータの復旧と原因調査を両立したい場合は、現在の状態を保ったまま専門会社へ相談することが重要です。
ランサムウェア被害をフォレンジック調査で確認する方法
ランサムウェア被害では、復号の可否だけでなく、攻撃者がどこから侵入し、どこまで操作したかを確認する必要があります。
ランサムウェアの種類を特定する
暗号化ファイル、身代金要求文、マルウェア実行痕跡などを確認し、攻撃に利用されたランサムウェアファミリーを調べます。
最初の侵入経路を確認する
VPN、RDP、フィッシングメール、公開サーバーの脆弱性、漏えいした認証情報など、最初に利用された侵入経路を確認します。
他端末やサーバーへの横展開を確認する
SMB、RDP、PowerShellなどの利用履歴を確認し、攻撃者が他の端末やサーバーへ移動していないかを調べます。
情報流出の有無を確認する
ファイルアクセス、アーカイブ作成、大量通信、クラウドアップロードなどを確認し、暗号化前に情報が持ち出された可能性を調査します。
暗号化開始までの攻撃を時系列で整理する
最初の不正ログインから権限昇格、横展開、バックアップ削除、情報窃取、暗号化までを時系列で整理します。
おすすめのフォレンジック調査会社
公式サイトデジタルデータフォレンジック
編集部が厳選したおすすめのフォレンジック調査会社は、デジタルデータフォレンジックです。
デジタルデータフォレンジックは、累計4万7千件以上の豊富な相談実績を持ち、全国各地の警察・捜査機関からの相談実績も409件以上ある国内有数のフォレンジック調査サービスです。
24時間365日の相談窓口があり、緊急時でも安心です。相談から見積りまで無料で対応してくれるので、フォレンジック調査の依頼が初めてという方もまずは気軽に相談してみることをおすすめします。
まとめ
ランサムウェアには無料の復号ツールが公開されているものがありますが、すべてのランサムウェアを復号できるわけではありません。まず身代金要求文、暗号化後の拡張子、暗号化ファイルなどからランサムウェアの種類を特定し、No More Ransomや警察庁、セキュリティベンダーなど信頼できる提供元で対応ツールを確認してください。
復号ツールを利用する場合は、感染端末を隔離し、暗号化された原本を保全したうえでコピー上で検証します。侵入経路が残ったままバックアップを接続すると再暗号化される可能性があるため、復旧前にマルウェアや不正アクセス経路を確認することも重要です。
無料復号ツールが存在しない場合は、オフラインバックアップ、クラウドの世代管理、スナップショットなどからの復旧を検討します。ランサムウェアの種類、侵入経路、情報流出の有無が分からない場合は、証拠を削除せず、フォレンジック調査で被害範囲を確認することが重要です。
![中小企業の情報瀬キィリティ相談窓口[30分無料]](/wp-content/uploads/2023/07/bnr_footer04.png)
