ゲストさんログイン

ウェブ検索

最新ニュース! クリックするほどよく分かる

[PR][全額返金保証]の育毛剤が解禁

【セキュリティ魂】身代金を要求するマルウエア「ファイルを救いたければ$200払え!」

2008年07月07日10時00分 / 提供:ネットセキュリティ

ネットセキュリティ
【セキュリティ魂】身代金を要求するマルウエア「ファイルを救いたければ$200払え!」
ポップアップによる警告
 Ransomware、つまり”身代金ウエア”のGpcodeが流行したのは、2005年のことだった。このランサムウエアがよりいっそう強力になって復活、流行しており、「ファイルを人質にとるマルウエアの復活」というヘッドラインで、すでにニュースになっている。このトロイの木馬を最初に発見・報告した、ロシアのカスペルスキー社の上級ウイルス研究員、Vitaliy Kamlyuk氏にスカイプでインタビューを実施したので紹介しよう。なお、このトロイの木馬はGpcode.akと命名されている。

 Gpcode.akは、ファイルサイズ8030byteのWindowsのPE EXEファイルで、一度ユーザーのPCに入ると、ディスクをスキャンし、Windowsに組み込まれているMicrosoft Enhanced Cryptographic Provider を使い、.jpg、.txt、.vcf、 .lzhなど、全部で140種類以上のファイルをRSA-1024で次々に暗号化する。例えば、GPcode.akは、abc.txtというファイルを暗号化してabc.txt_CRYPTという新しいファイルを作り、オリジナルのabc.txtをデリートする。これにより、ユーザーがabc.txtを再び見ることは不可能となる。この暗号化攻撃の対象とならないのは、program dirにあるファイル、systemファイルとhiddenファイル、10bytes以下のファイル及び734,003,200byte以上のファイルだ。

 また同時に、GPcode.akは、全てのディレクトリーに「キミのファイルはRSA-1024アルゴリズムで暗号化された。ファイルをリカバリしたければ、ディクリプターを購入する必要がある。購入にはxxxx.yahoo.comまで連絡を」と書かれた「!_READ_ME_!.txt」という名前のテキストファイルを挿入する。そして、写真のようなポップアップで警告を行う。作者はデクリプター・ソフトの代金として「$50〜$200」を要求しているそうだ。
図:ポップアップによる警告

https://www.netsecurity.ne.jp/images/article/ransomware01.jpg

 さて、このポップアップを万が一自分のスクリーンで目にした場合、undeleteなどのユーティリティーを使ってオリジナルをリカバリーするために、一般ユーザーには「PCをリブートしたり、電源オフしないように」と指示している。しかし、パワーユーザーならば、即座にhardware power-offを行い、CD(DVD)からリブートし、ファイルリカバリーを行うことができる。

 このGpcode.akの以前のバージョンでは、660bit長のRSAキーを使って暗号化を行い、そして「!_READ_ME_!.txt」の代わりに 「!_Vnimanie_!.txt」(ロシア語でattensionの意味)という名前のファイルを挿入したため、ロシアが発祥地だと推測されていた。このバージョンのGpcodeは2006年の6月に、キーの長さが短かったこと、自家製の暗号アルゴリズムを使っており、その実行方法にエラーが存在したことを目に付けたカスペルスキーの研究者がその秘密鍵を入手し、クラッキングに成功している。

 今回のGpcode.akは、1024bitのキーを使ったRSA暗号化アルゴリズムが使用され、更に、一度暗号化が終わるとVBSファイルを作ってウイルスの本体をデリートしてしまうことなど、より”強力”になっている。特に本体を自分でデリートすることからコードのサンプル集めには手間取ったらしく、「アルジェリア、フランス、ルーマニア、インド、ロシアなど、世界中でこのトロイの木馬のサンプルを探したが、やっとのことキエフ(ウクライナ)で実際のコードを見つけることができた」と、Kamlyuk氏は言っている。また、「現在のところ、どのような方法で流行するかは分かっていないが、ウエブかスパムというのが有力だ。現在はウイルスとカテゴライズされているが、性質としてはトロイの木馬であり、一度”感染”したマシンから他のマシンへの二次感染はないことが分かっている。」とも言っている。

 さて、RSA-1024もの長さの鍵となると、複合化には、CPUクロック2〜3GHzのPC1,500万台で1年かかることから、カスペルスキーではそのブログで、「暗号学者、政府関連者、科学者、化学組織、アンチ・ウイルス企業、インデペンデントの研究者たちよ、Gpcodeの阻止に強力して欲しい。」と、以下の二つの鍵を発表してその因数分解への協力を呼びかけている。
http://www.viruslist.com/en/weblog?weblogid=208187528

 それだけでなく、カスペルスキーではGpcode専用のフォーラムも立ち上げた。
http://forum.kaspersky.com/index.php?showforum=90

 フォーラムではいろいろなアイデアが寄せられている。例えば「hiddenファイルを暗号化しないのなら、全てのファイルをhiddenにしてしまえばいい」「オリジナルを新しいファイルに暗号化してからオリジナルをデリートするのなら、ルートキットか何かを作ってこれができないようにすればいい」「Gpcodeが暗号化する最大ぎりぎりのテキストファイルのバックアップを使って、バックアップ・ファイルをその暗号化されたバージョンでもってxoringし、暗号化ストリームを計算する」「ウイルスの作者からディクリプターを”買って”それをリバース・エンジニアすればいい」「Boinc (boinc.berkeley.edu)を使えばいい(BOINCは世界最大のディストリビューテッド・コンピュータ・ネットワーク)」などの意見が寄せられており、中でもジョークで、「botnetを構築するウイルスを作成してばら撒いて、そのbotnetに解読させればいい」などというのもある。

 ブルートフォースするのは現実的ではないが、Kamlyuk氏は「現在カスペルスキーは米国のMITと協力してリカバリー・ツールを開発して」おり、また、「犯人がyahooのメールアカウントを使っているが、yahooのポリシーでアカウント所持者の情報は公開しないことになっているから、犯人を追跡する調査には時間がかかる」と言っている。

 万が一感染した場合は、即座に stopgpcode@kaspersky.com に連絡し、感染前にそのPCで行ったことをできる限り細かく説明するように、ということだ。

【速報】
 Gpcode対策を調査していたカスペルスキーのVitaliy Kamlyukから、モスクワ時間6月13日深夜2時20分に、筆者にスカイプが入った。

「Gpcodeで暗号化されたファイルををデクリプトして元に戻すことはできないが、Gpcodeがファイルを暗号化する方法に目をつけ、被害にあった人が、自分で、無料でファイルをリカバリできる最適の方法が分かった」ということだ。

 アップデートされたKamlyuk氏のウエブログに仔細があるが、世界中で被害にあった人たちに「いろいろなユーティリティを使ってファイルを復元するように指示してきたが、ほとんどのユーティリティはシェアウエアなのが難点」だった。Kamlyuk氏のチームでは、「Ontrack Easy Recovery、Winternals Disk Commander、Active Partition Recovery、Active Uneraser、File Undeleteなどを含む多数のユーティリティをテストし、PhotoRecというユーティリティが、このタスクに最適」との結論を出した。PhotoRecはGeneral Public License (GPL)で発表されているフリーウエアだ。
Kamlyuk氏のウエブログ
PhotoRec

 「Gpcodeでは、ファイルを暗号化するのに、ターゲットファイルの暗号化バージョンを作成してから、次にオリジナルのファイルをデリートするという手順をとっているため、このオリジナルのファイルをリカバリするのが、身代金を払わずにデータをリカバリできる一番の方法だ」とは納得。「PhotoRecは、間違ってデリートしてしまった写真ファイルなどをリカバリするのを目的で作成されているが、その他のファイルのリカバリにも優れている」そうだ。唯一の難点が、「ファイルのパスやファイル名はリストアできない」こと。そこでKamlyuk氏はフリーのユーティリティー、StopGpcodeを作成し、ファイル・リカバリの手順をチュートリアルにまとめている。StopGpcodeは、Gpcodeが暗号化したファイルのサイズと、PhotoRecがリカバリしたサイズなどを比べて、正しいディレクトリ名とファイル名を推測して、ファイルを元のディレクトリー名のついたディレクトリーにソートしてくれる。
ファイル・リカバリのチュートリアル

 Gpcodeがファイルの暗号化をするのは阻止できないが、チュートリアルを読めば、誰もが無料でファイルをリカバリできるため、現実問題としてはこれでGpcodeは中和されたと言ってよいだろう。

 Kamlyuk氏は、「Gpcodeの作者に”身代金”を払うかわりに、PhotoRecの作者に寄付をしてあげて欲しい」と言っている。

執筆:米国 笠原利香

■こちらもオススメ!【セキュリティ魂】
ハッキング大学生と結びつく韓国セキュリティ業界
あきれた性犯罪者リスト漏えい事件
ハッキングの餌食となったATM
アンチウイルスソフトの選び方
優勝賞金は400万円!韓国ハッキングコンテスト
【セキュリティ魂】バックナンバー
関連ワード:
マルウェア  セキュリティ  ウイルス  ロシア  ブログ  
コメントするにはログインが必要です
ログインしてください
投稿

関連ニュース:マルウェア

ITアクセスランキング

注目の情報
遼くんから学ぶ英語
「英語で話すとき、日本語では考えられないんです!」と遼くん!頭の
中で日本語をいちいち訳してから英語を話すということは一切していな
いことが、『スピードラーニング』で養った英語脳効果!


→ スピードラーニングについて

ヘッドライン

【トレビアン】秋葉原でlivedoor BlogPROチケット配布! 20分で配布終了! 【トレビアン】秋葉原でl...
先日告知した通り、7月5日(日曜日)に秋葉原にてlivedoor Blog PROクーポンチケットを配布した。予告時刻より遅れ、15時10分から配布開始。

写真ニュース

【連載・シンクライアントソリューション(Vol.1)】新世代型シンクライアントの紹介〜何故、今シンクライアントなのか?〜 「Twitterで簡単にもうかる」という偽メール、情報詐取が目的か マイケル・ジャクソン氏の死に便乗するサイバー攻撃が横行 MSのセキュリティサービスは脅威にならず、F-SecureのCEO
私用パソコン所有者の3割がウイルス感染を経験 Web攻撃の「Nine-Ball」、盗んだFTPパスワードで侵入か 「データ暗号化は使いやすい」とPGP代表の北原氏 チャット相手は本当に女性? IMで不正サイトに誘導
アダルトサイトに仕掛けられる「PDF」ウイルスに注意 企業で起こる2つのセキュリティ脅威を知る――JPCERT/CCの報告書から MSのセキュリティ情報をかたる偽メールが再流通 ディアイティ、脆弱性を調査する「無線LANセキュリティ診断サービス」を開始 〜 PCI DSSなどを視野に

特集

ケータイでニュースを見る
QRコード 行きの電車、帰りの電車で
livedoorニュースを読もう!
ケータイにメールを送る