Defray ランサムウェア、病院や企業を攻撃する
Defray ウィルスは、被害者のファイルを AES-256 アルゴリズムで暗号化しようと目論む、ファイル暗号化タイプの脅威と定義されます。そのキー自体は RSA-2048 で暗号化されます。このマルウェアは現時点では主にイギリス とアメリカで広がっています。以下はこのマルウェアの主な特徴です:
- AES-256 および RSA-2048 のアルゴリズムを組み合わせてデータを暗号化
- 身代金 $5000 を要求
- 主に選り抜きの企業、教育機関、また病院を狙う
- フィッシング・サイトおよび .doc ファイル経由で拡散
- スタートアップ回復の無効化、およびタスク・マネージャーのコマンドを監視
- シャドウ・ボリューム・コピー を削除
このマルウェアはフィッシング技法を使用して拡散されている所も見つかっています。さらに、サイバー犯罪者は glushkov@protonmail.ch、glushkov@tutanota.de および igor.glushkov.83@mail.ru の 3 つのメール・アドレスを提示しています。
メールのドメインから、この詐欺師はロシア語を話す者ではないかと推測できますが、身代金メモは洗練された正しい英語のスタイルで記述されていることから、これは単なる牽制ではないかと思われます。身代金メモのメッセージに書かれている警告には関係なく、弊社では Defray マルウェアを除去されることをお勧めします。Reimage または Malwarebytes Anti Malware ならこのプロセスのお役に立つでしょう。
このマルウェアは世界中のあらゆる企業をターゲットにしているのとは異なり、選りすぐりの企業を数社選んでいることから、詐欺師あるいはそのグループは組織化されており、WannaCry や Petya.A の場合のように世界的な混沌をもたらすよりは、お金を巻き上げることを目的にしているようです。
'Safe Mode with Networking' を選択
'Enable Safe Mode with Networking' を選択
'Safe Mode with Command Prompt' を選択
'Enable Safe Mode with Command Prompt' を選択
引用符なしで 'cd restore' を入力し、 'Enter' を押下します
引用符なしで 'rstrui.exe' を入力し、 'Enter' を押下します
'System Restore' ウィンドウが表示されたら、 'Next' を選択します
復元ポイントを選択し、 'Next' をクリックします
'Yes' をクリックし、システムの復 を開始します
未解決の疑問点
ターゲットになったユーザーが感染した .doc ファイルをクリックすると、組み込まれたビデオ・メッセージを含んでいると思われる見せかけのメッセージが表示されます。ランサムウェアを有効化するためには、被害者がそのビデオを起動する必要があるのです。マルウェアは病院をターゲットにしているため、ファイルには「Patient Report (患者報告書)」というタイトルが付けられています 。
面白いことに、このマルウェアは 8 月 15 日には既に検出されていました。その時点では、感染している .doc ファイルには映像によるプレゼンテーションを含む動画と思われるものが含まれていました。マルウェアにこの名が付いたのは、defrayable-listings.000webhostapp[.]com というリクエスト・コマンドによります。さらに、マルウェアが数々の異なるファイル形式をターゲットにすることも分かっています。このマルウェアは特定のファイル拡張子を付加することはないようです。
Defray ランサムウェアは他にも FILES.txt および HELP.txt の 2 つのファイルも残していますが、内容は同じものです。メッセージにはなんら誇張的な警告も書かれていません。以下は短い抜粋です:
パニックにならず、内容を読んで IT 部門に連絡してください。
Your computer has been infected with a virus known as ransomware. All files including your personal or business documents, backups and projects are encrypted.
Encryption is very sophisticated and without paying a ransom you won’t get your files back.
You could be advised not to pay, but you should anyway get in touch with us.
Ransom value for your files is 5000$ to be paid in digital currency called bitcoins.
If you have questions, write us.
If you have doubts, write us.
If you want to negotiate, write us.
マルウェアの配布率は低いまま
この暗号化タイプのマルウェアはアメリカとイギリスの選りすぐりの企業や教育機関、また医療機関のみをターゲットにしているため、配布率はまだ低いままですが、それでもかなり多様な伝送技術を採用しています。
主にスパム・メールで広がっているのです。ですから、このマルウェアが含まれているファイルが、あたかも公的機関から送られてきたかのような名前になっている可能性があるため、注意が必要です。また、ファイル名が請求書のような名前の場合もあります。そのようなメールには正しい認証情報が掛けていたり、タイプミスがあったりします。
フィッシング・サイトにも Defary ハイジャッカーが置かれていることがあります。このトロイを近づけないためには、ご使用中のセキュリティ・ツールを最新版に更新する必要があります。このようなプログラムを何種類か用意しておく方が賢い判断といえるでしょう。それでは、Defray の除去に進みましょう。
Defray マルウェアの除去
どのランサムウェアの開発者も、サード・パーティのデータ復元ツールを使用しないよう警告しています。しかし、他の方法があるのです。実際、このマルウェアの洗練度が高いため、まだご利用いただける Defray Decrypter はありません。
それでも、Defray ウィルスは急いで除去すべきです。マルウェア除去ユーティリティが起動できない場合は、以下のガイドをご利用いただけます。このウィルスはシャドウ・ボリューム・コピーを削除しますが、バックアップ・コピー からデータを復元することができます。このページの末尾に、いくつかおすすめできるツールをあげておきましたのでご利用ください。
手動 Defrayウイルス削除方法:
Safe Mode with Networking を使用して Defray を削除
マルウェアによりマルウェア除去プログラムを起動できない場合は、Windows を再起動して Safe Mode にしてください。そうすれば Defray の除去を完了することができます。
-
手順 1: Safe Mode with Networking へコンピュータを再起動
Windows 7 / Vista / XP- Start → Shutdown → Restart → OK をクリック.
- コンピュータがアクティブ状態になったら、 Advanced Boot Options ウィンドウが表示されるまで、 F8 を何度か押下します。
-
リストから Safe Mode with Networking を選択
Windows 10 / Windows 8- Windows ログイン画面で Power ボタンを押下します。 その後、キーボードの Shift を押し続け、 Restart をクリックします。.
- ここで、 Troubleshoot → Advanced options → Startup Settings を選択し、最後に Restart を押下します。
-
コンピュータがアクティブ状態になったら、 Startup Settings ウィンドウの Enable Safe Mode with Networking を選択します。
-
手順 2: 削除 Defray
感染しているアカウントへログインし、ブラウザを起動します。Reimage または信頼できるアンチスパイウェアプログラムをダウンロードします。フルスキャンの前にアップデートを行い、感染したランサムウェアに属する悪意のあるファイルを削除し、 Defray の削除を完了します。
ランサムウェアによってSafe Mode with Networking がブロックされている場合は、さらなる方法を試してください。
System Restore を使用して Defray を削除
-
手順 1: Safe Mode with Command Prompt へコンピュータを再起動
Windows 7 / Vista / XP- Start → Shutdown → Restart → OK をクリック.
- コンピュータがアクティブ状態になったら、 Advanced Boot Options ウィンドウが表示されるまで、 F8 を何度か押下します。
-
リストから Command Prompt を選択
Windows 10 / Windows 8- Windows ログイン画面で Power ボタンを押下します。 その後、キーボードの Shift を押し続け、 Restart をクリックします。.
- ここで、 Troubleshoot → Advanced options → Startup Settings を選択し、最後に Restart を押下します。
-
コンピュータがアクティブ状態になったら、 Startup Settings ウィンドウの Enable Safe Mode with Command Prompt を選択します。
-
手順 2: システムファイルと設定の復元
-
Command Prompt ウィンドウが表示されたら、 cd restore を入力し Enter をクリックします。
-
ここで rstrui.exe を入力し、もう一度 Enter を押下します。.
-
新しいウィンドウが表示されたら、 Next をクリックし、Defray が侵入する前の復元ポイントを選択します。選択後、 Next をクリックします。
-
ここで Yes をクリックし、システムの復元を開始します。
-
Command Prompt ウィンドウが表示されたら、 cd restore を入力し Enter をクリックします。
おまけ: データの復元
上記のガイドは PC から Defray を除去するために役立つはずです。暗号化されたファイルを復元するには、uirusu.jp のセキュリティ専門家が用意した詳しいガイドを使用されることをお勧めします。ファイルが Defray によって暗号化された場合、それらを復元する方法はいくつかあります。
Data Recovery Pro とは？
このツールは感染したファイル、および失われたファイルを復元するお手伝いをするものです。Defray ウィルスに感染したファイルの回復にも役立つでしょう。
- Data Recovery Pro をダウンロードします (http://uirusu.jp//download/data-recovery-pro-setup.exe)。
- Data Recovery のセットップの手順に従い、プログラムを PC にインストールします。
- 起動後、PC をスキャンして Defray ランサムウェアにより暗号化されたファイルを探します。
- それらを復元します。
最後に、クリプト・ランサムウェアから身を守るよう、常に気をつけてください。Defray やその他のランサムウェアからコンピュータを守るためには、 Reimage や Plumbytes Anti-MalwareWebroot SecureAnywhere AntiVirus 、 Malwarebytes Anti Malware などの評価が高いアンチスパイウェアを使用してください
著者について
この無料の除去ガイドがお役に立ち、弊社のサービスにご満足いただけましたら、本サービスが続けられますよう、ご寄付をご検討ください。少額でも喜んでお預かりいたします。