【データ復旧】データ復旧サービスランサムウェア被害からの回復

目次 [INDEX]

ユーザに実行させるマルウェアが多い傾向です
データ復旧サービスランサムウェア被害への対応
身代金を払ってもデータは戻らない
ランサムウェアの多くはクラッシュ
なぜランサムウェアはクラッシュするのか？
重要なのは「復旧の可能性がある」こと

ユーザに実行させるマルウェアが多い傾向です

手順通りに実行したらマルウェアに感染していた。それが暗号系だとランサムウェアになります。

この通り、ユーザに実行させるマルウェアが急増している印象が強いです。
それだけ、同じことを処理するのに決まった順序による確認作業が急増したということです。
例えばAIなのか、それとも人間なのか。
それだけでも確認する作業が発生してしまった。１０年以上前では考えられません。

つまり、それだけ人間側の確認も多く生じており、そこに付け込んだマルウェアが増殖しているのです。
これには、複雑な手続きを要求するbotの存在も別の意味で加担しているといえる状況です。
自動化されておらず、指定された手順を要求されてようやく検証となる。

ここにマルウェアが入り込むと、その検証を偽って怪しげなスクリプトを実行させる。
画面で指定された通りに、ユーザ側から実行してくれるわけですから、そこには高度なハッキングなどは一切ありません。
非常に原始的な手法で、それも助長しているのでしょう。
このような状況ゆえに、検証系すら少しでも怪しいと感じたら「何もしない」が大事です。
検証が機能しないとなると、ある程度はスパムを容認して受け入れるしかないのでしょうか。
ただそれは、また別な問題を生じさせるので、どこかで厳しめに制約を設けないといけない段階まで来ているのかもしれません。

データ復旧サービスランサムウェア被害への対応

ランサムウェアとは、利用者の許可なくデータを暗号化し、復号を条件に身代金を要求する不正プログラムです。

近年、このランサムウェアによる被害は非常に多く発生しています。
報道されている事例は、あくまで氷山の一角にすぎません。
小規模な被害まで含めれば、今この瞬間にも、どこかで被害が発生している可能性があります。

データ復旧の現場では「ランサムウェア被害に遭ったが、何とかならないか」というご相談をよくいただきます。

まず、すべてのデータが完全に破壊されているとは限りません。
多くのケースでは、ランサムウェアの処理が途中で停止していたり、暗号化・破壊処理が一部にとどまっていたりするため、
被害を受けていない領域からデータを復旧できる場合があります。

ランサムウェアは、必ずしも繊細に設計されたプログラムとは限りません。
対象となるデータを手当たり次第に処理しながら、暗号化や破壊を進めていくものもあります。
そのため途中で処理が停止すれば、そこで被害の進行も止まります。

またドライブの仕組み上、データを一瞬ですべて書き換えることはできません。
HDDやSSD、NASなどは、それぞれの転送速度や書き込み速度に制約があります。
そのため、物理的に書き込める量には限界があります。

ランサムウェア被害というと、「一気にすべてのデータがやられてしまった」という印象を持たれがちです。
しかし実際には、ドライブの書き込み速度を超えて処理することはできません。
異常に気づいて早い段階で電源を落とした場合や、
ランサムウェア自体が途中でクラッシュして停止していた場合には、かなりのデータが残っていることもあります。

特にNASでは、このようなケースを比較的多く診断しており、大部分のデータを復旧・回収できた事例もあります。
では、ランサムウェアの目的は何か。それは「復号しなければデータは戻らない」と思わせ、身代金を支払わせることです。

ただし、ここで注意すべき点があります。
暗号化されたデータと、乱数を書き込まれたデータは、外見上は区別がつきにくい場合があります。

そのため、攻撃者は必ずしも正しく暗号化しているとは限りません。
処理量を抑えるため、あるいは単に破壊を目的として、データ領域に乱数を書き込んでいるだけのケースもあります。

もちろん、ファイルヘッダなどを偽装し、あたかも暗号化されたように見せかける場合もあります。
しかし、解析を進めると、その偽装が不自然に見えることがあります。
本当にAESなどで暗号化されたデータなのか、それとも乱数で破壊されたデータなのかを見極めることが重要です。

もし乱数を書き込まれているだけであれば、そもそも復号はできません。
つまり、身代金を支払ったとしても、データが戻る保証など、はじめからありません。

さらに、攻撃者が約束を守る保証もありません。
支払い後に復号キーが提供されない・復号できない・追加で金銭を要求される――そのような二次被害につながる可能性もあります。
ランサムウェア被害では、身代金の支払いではなく現状を正確に調査することが重要です。

被害を受けたドライブやNASの状態を確認することで、暗号化・破壊処理がどこまで進んでいるのか、どの領域にデータが残っているのかを調査します。
そのうえで、復旧可能なデータをできる限り回収します。あわせて被害状況やセキュリティ面の調査も行います。

ランサムウェア被害では早い段階での対応が非常に重要です。
異常に気づいた場合は再起動や操作を繰り返さず、できるだけ現状を保ったままご相談ください。

身代金を払ってもデータは戻らない

攻撃者の目的は「金銭」だけであり復号する意思ははじめからありません。
つまり、データを復元する保証は一切ないためむしろ、支払ったことで「身代金を払うターゲット」として狙われる可能性が高まります。
支払った後も、さらなる要求が続く可能性が高く一度支払いに応じた被害者は、「交渉に応じる標的」として追加の要求を受けることがあります。

つまりそこまでは作り込まれていない。その点が「復旧のポイント」になります。