【小ネタ】ランサムウェアに襲われてみた話
まあ、タイトル通りです。
ちょっと「どうしても削除できないソフトウェアが Windows 10 Pro環境に居残ってしまった(まあ、BlackBerry 10 OS用の BlackBerry Link、および BlackBerry Device Managerなどですが)」ので、それを削除するためにもちょっと危ないソフトウェアに手を出さざるを得ず.....。
※BlackBerry 10 OSの頃とか、本当にソフトウェアの
セキュリティが強固すぎて、レジストリ内なりサービスが
どこでどの様に設定されているのか?、総当り検索しないと
削除しきれない程ガチにきついので。(^^;)
そういうちょっと危ないソフトウェアを使うときってやむを得ずウイルスチェックプログラムのリアルタイムスキャンとか止めちゃうんですよね。
そうしないと「手動での強制削除までブロックされちゃう」ので。
で、やっぱり入ってましたよ、ランサムウェアが(笑)。
結果から言うと「被害なし」だったんですが。
※この辺りは経験と「PC(なりサーバーOSなど)の挙動を
どれだけ見慣れているか?」にも夜と個人的に思います。
強烈にガシガシストレージへアクセスしてるので「こりゃちょっとおかしいなあ?」と思いつつも途中でウイルスチェックプログラムを有効にしたらブロックの嵐。
おお、こりゃあ本格的に来てるやつだな、と。
※まあトロイ(トロイの木馬などのワーム)
くらいだったら手で削除するのも出来ない
わけじゃないです。
(時間掛かるのでやりたくないだけです)
で、早速裏で動いてるプロセス、サービスを強制切断・停止してディレクトリ内部状況を総なめしたところ、先に「おまえの PC内データ、全部暗号化したから(pgr)」のテキストを書くディレクトリに配布してる最中でした。
ランサムウェアもこのディレクトリ内ファイルコピー中に「どのファイルを暗号化すれば被害甚大か?」というのを分析してるんですけど、今回は「ファイルがないディレクトリまで暗号化しようとしていた」ので、ちょっと物足りないです。
※ランサムウェアに「物足りない」とか言い出す時点で
既に色々おかしいと思いますが、職業柄なので
気にしないでください。
結構そういうところ麻痺してたりします(笑)。
ひとまずワームなどをブロックしまくって、先程まで動作していたものの配置場所を確認。
さっさとファイルを削除していって、次にレジストリ内部を総なめ(ワームがキックする先の暗号化プログラムなどのファイル名)していきました。
うじゃうじゃ書いてますね、レジストリに(笑)。
※この時点で消したかったソフトウェアも一緒に
レジストリ削除していきました。
結構面倒でしたけど。(項目多すぎるんだよ、BlackBerryさん!!)
で、レジストリ整理なりファイル削除を完了してから数回再起動して「余計なプロセスが上がってこないこと」を確認しました。
まあ、こう言うのは「どれだけ早く自分が来づけるか?」でなんとか防御できる否かの瀬戸際だったりするんですよねえ。意外と慣れが必要だったりします。
ちなみに何で暗号化されずに救えたのか?というと、以下の理由があります。
1.使ってる環境が HDD起動の環境。
→しかも HDD使用率、既に 75%を超えてるのでそれなりにディスクとしては重い状態。
2.Microsoft Defenderに切り替えた。
→Microsoft Defenderってランサムウェア対策機能があるのを知って Aviraから
1台だけ切り替えました。
今回はその「切り替えた1台で遭遇」したわけです。
昨今の PCは SSD化が進んでいますけど、SSDの場合は襲われるの早いので、ランサムウェア対策は重要です。
で、肝心な BlackBerry 10 Desktop Softwareやらのタグ位はどうやって消したのかって?。
地道に手で消しましたよ<ほら、ツール使う意味なかったじゃん(笑)。
今回のランサムウェアが警告として各ディレクトリに置いていた脅迫文を掲載。
細かなところは全て伏せ字にしてあります。
各ディレクトリにこれをばらまこうと思ったら、確かに若干時間は必要ですね。
つくづく「HDD環境で使ってるのはある意味安全」と思いました。(笑)
================
ATTENTION!
Don't worry, you can return all your files!
All your files like pictures, databases, documents and other important are encrypted with strongest encryption and unique key.
The only method of recovering files is to purchase decrypt tool and unique key for you.
This software will decrypt all your encrypted files.
What guarantees you have?
You can send one of your encrypted file from your PC and we decrypt it for free.
But we can decrypt only 1 file for free. File must not contain valuable information.
You can get and look video overview decrypt tool:
https://xxxxxxxx.xxxxxxxx
Price of private key and decrypt software is $980.
Discount 50% available if you contact us first 72 hours, that's price for you is $490.
Please note that you'll never restore your data without payment.
Check your e-mail "Spam" or "Junk" folder if you don't get answer more than 6 hours.
To get this software you need write on our e-mail:
xxxxxxxx@xxxxxxxx.xxxx
Reserve e-mail address to contact us:
xxxxxxxx@xxxxxxxx.xxxx
Your personal ID:
xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
================
★更に続報★
もうランサムウェアの被害は解決したと思っていた皆さん、残念でした。(涙)
調べてみたら「ネットワークドライブのルートディレクトリに置いてあったファイル」から暗号化されてました。ここは笑うところです、はい(^^)。
暗号化されたファイルの拡張子を調べたら「.wiot」となっていたので、再度調べたところ、「Wiot Virus」とか命名されているランサムウェアのようです。
国内ではあまり観測されてないですね。:)
●Wiot Virus Removal Guide (+Decrypt .wiot files)
https://adware.guru/wiot-ransomware-decrypt-files/
●Wiot ransomware (virus) - Bonus: Decryption Steps
https://www.2-spyware.com/remove-wiot-ransomware.html
結論から言うと「別に無くなっても問題ないファイル」だったので、さっくり削除しました。HDDが少しだけ空いたのでギリセーフ(苦笑)
Windows 8.1 ISOが暗号化されてしまったため、それは Microsoftから持ってきました。
ということで、昨今のランサムウェア対策は以下も追加しておいたほうが良いかもしれません。
●ファイルなどはディスクのルートディレクトリに置かない。
→真っ先にランサムウェアで暗号化の餌食になります。ディレクトリ総なめしていきますので、
なるべく深いディレクトリへ移動しておくのが良いかもしれないです。
●Windows環境であれば「システムファイルを保護する」ツールを使用する。
→Microsoft Defenderのランサムウェア対策機能で十分です。
●毀損などで影響あるファイルは「オフラインで定期的にバックアップ」し、隔地保管に近い形で保存(要は常時切り離し)する。
→クラウドストレージにつながっていても、昨今はそちらを暗号化するようです。
★暗号化され、オフライン暗号キーがない場合は復号化出来ないので、『さっくりと諦めて暗号化ファイルは捨てる』こと。
→ここ、重要です。金払って云々なんてのは無駄です。(下手すりゃ暗号キー渡されずに金だけぶん取られるので)
まあ、皆様もお気をつけください(^^)
>> ギリアム・イェーガー・ヘリオス@新米、見掛けるように さん
実は意外と「うーん、まあこんなもんかな?」程度です。既に感覚が麻痺してますね、この人は(笑)。
まあ、ここまで麻痺するような使い方は皆様におすすめしません。
大人しく以下の対策を普段から取るのが良いです。
●本当に消えたらやばいファイルなりデータだけは複数バックアップ取っておく。
●バックアップも複数世代管理できるようにしておく。
●クラウドストレージもそれなりには役に立つ。お値段見合いで契約するのも良い。
→Windowsだったら OneDriveも使えるわけで、Microsoft 365契約しないのはもったいないというか。
●最悪「ガチに暗号化されても笑って対応できるだけの備え」はしておくこと。
→でも一般のご家庭では「PC内データ暗号化されたら普通困りますよねえ?」。
※全く困らない『逸般の誤家庭』関係者は除きます。:)
> Price of private key and decrypt software is $980.
> Discount 50% available if you contact us first 72 hours, that's price for you is $490.
ここらのプライシングってどうなってるんでしょうか?🤔
大きな会社だと莫大な金額を請求されたとか聞きますが❓
>> corgitan@人生は一度きり🤔 さん
> ここらのプライシングってどうなってるんでしょうか?🤔> 大きな会社だと莫大な金額を請求されたとか聞きますが❓
多分無差別攻撃的なやつは「それほど高くはない(無理すりゃなんとか払える程度)」にしてるんだと思います。
標的型の場合は「逆に業務停止へ追い込むことを目的にしてる」パターンが多いというか?。
→この前のアクセンチュアの事例とかですね。
https://www.cnn.co.jp/tech/35175122.html
今回のは「KRABxxxxx」とか書いてありましたので、「GandCrab」なんだと思います。
これだと最悪「復号化ツールも出ている模様」なので、もしかしたら救われるかもしれませんが。
https://japan.zdnet.com/article/35127633/
という事は自分から突っ込んでいたのですか?
>> 杏鹿@………………………… さん
強制的にツールで消したいソフトウェアがあったので、面倒だからとそれを持ってきた(いわゆるxxクリーナー的なやつ)ところ、そういう事象になってしまったというか。まあ、そもそも持ってきたプログラム自体も色々と怪しかったので「多分なにか来るだろうなあ?」と思って用心してたらやっぱり.....というところです。
こう言うのって予感は結構的中するんですよねえ。:(
>> ばななめろん さん
怖いですねー。データだけはこまめにバックアップ取っておいた方がいいと思いました。ろくなデータでもないけど(面白写真とか)Avast を入れてたPCに「危険にされされています」と警告が出ました。
慌ててAvast をアンインストールしました。😀
当方はすっかりWindowsから引退気味なのですが、ガシガシストレージへアクセスする類いを入れてみて、ストレージの点滅を見張ったり、CPU使用率を表示して闘うなんて何だか懐かしいような楽しそうで何よりです🥳
野良のクリーナーソフトとか怪しいの結構ヒットするけど、社の窓がデフォの時代なら兎も角、覚悟が無いと😱尻尾まいて逃げ出すやつ〜
Defender案外ちゃんとしてますよね。
AvastはNorton先生の所に合併吸収された筈です。
※欲しいファイルの99%はNAS以降中でセーフ
>> hageten さん
いえいえ。まあランサムウェアに襲われた場合、一般的には「手で対処するのってある程度までスキャンが進むと難しいよね?」ってことでして。
早めに気がついたから良かったものの、気が付かなかったらサクッと暗号化されてましたので。
いかにも挙動がおかしかったので「これは変なのが裏で動いてるな?」と思い、いつも起動している Windows 標準のタスクマネージャー見たら「ああ、これはヤバいわ」と思うファイル名がいくつか見つかりまして.....。
むろん、有無を言わせずその場で全て終了
→すぐ Microsoft Defender起動
→さらに裏で動くようにスタートアップ登録されていないかも確認
→らディスク内を総当たりで見て
「あ、これはレジストリエディア起動して調べなきゃ」と悟った瞬間でした。Microsoft Defenderのランサムウェア防止設定を入れておいてよかったです。
※[Windowsセキュリティダッシュボード]を開き
[ウイルスと驚異の防止]メニュー内に
[ランサムウェアの防止]項目があるので、
そこを開いて[コントロールされたフォルダアクセス]を
有効にしておくと、最悪 Windowsの実行ファイルなどは
最低限度守られるようになります。
→データは自分でディレクトリ追加しないと守られませんよ。:)
>> pasorin さん
途中で送ったらしいw証拠隠滅なので、一応連絡先メアドは出ていましたがワイパーとして使われたようです。
そりゃあNAS感染→被害甚大になるよなあ、と感じました。
まあ、こう言うことは自分でも経験しないと予防法がなかなか思いつきませんからねえ。
ちなみに「一部ファイルだけ複合できないか?」と思って以下を使ったのですがオフラインIDが残っていなかったために復号できなかったということもありました。
そもそも以下ツールでは「オフラインIDが残っていれば復号可能だよ」とは書いてありましたけどね。
●Emsisoft Decryptor for STOP Djvu (EMSISOFT)
https://www.emsisoft.com/ransomware-decryption-tools/stop-djvu
Wiotの場合は Djvuの変種みたいなので、現状ではまだまだ情報が少ない模様です。
>> pasorin さん
NASのランサムウェアというと、他スレでも話題がありましたけど QNAPのがそれなり被害大きかったように思います。結構そういう脆弱性をついてるところも含め、色々巧妙化してるので用心するにこしたことはないですね。
こうなってくると NexentaStor使いたくなるんですけどねえ。ライセンスがもうちょっとお手頃だったらそれを使いたいです。
※容量見合いだとそろそろ本当にエンタープライズクラスの
ストレージ装置買ったほうがお値段お得になってくる頃なので。
→だって普通に数十TB分データありますから(色々おかしい)
>> ばななめろん さん
アクセンチュアの場合、セキュリティマネージドサービスがあるのでそっちに多大な影響ありそうな予感。アクセンチュア、シマンテックのサイバーセキュリティサービス事業をブロードコムから買収完了
https://newsroom.accenture.jp/jp/news/release-20200501.htm
>> pasorin さん
> アクセンチュアの場合、セキュリティマネージドサービスがあるので> そっちに多大な影響ありそうな予感。
まあ、既に影響出てるとか出てないとかいろいろ風のうわさが聞こえてきますね。
※SEP(Symantec Endpoint Prtection)も Broadcomに
買収されてからライセンス獏上がりとか、
いろいろと噂に絶えないので。
Accentureに行った部門は確か.....(以下略)