ランサムウェアウイルスの削除方法：安全な行動計画

ランサムウェアウイルスを削除する方法を理解する必要がありますか？冷静に、手順を踏んで行動してください：まずデバイスを隔離し、次に証拠を保存し、信頼できるアンチウイルスでシステムをチェックし、その後ファイルの復元に進みます。ランサムウェアはデータへのアクセスをブロックし、身代金を要求しますが、マルウェアを削除しても必ずしも文書が解読されるわけではありません。したがって、主な目標は、拡散を止め、状況を悪化させず、安全な復元方法を選択することです。

ランサムウェアウイルスとは何か、そしてなぜそれが危険なのか

ランサムウェアウイルスは、コンピュータ、サーバー、外部ドライブ、またはネットワークフォルダー内のファイルを暗号化するマルウェアです。暗号化後、ユーザーは身代金を要求するメモを見ます。時にはファイルの拡張子が変更され、タイマーが表示され、デスクトップが悪意のあるメッセージに置き換えられることがあります。

このような攻撃は、いくつかの理由で危険です：

• ファイルが利用できなくなる。 文書、写真、データベース、アーカイブは、暗号解除後でないと開けません。
• ランサムウェアはネットワーク経由で広がる可能性があります。 コンピュータが共有フォルダーや企業ドメインに接続されている場合、リスクは高まります。
• いくつかのバリエーションはデータを盗む。 現代のランサムウェアのグループは、まず情報をコピーし、その後それを暗号化することが多いです。
• 身代金を支払うことが保証を与えない。 犯罪者が鍵を送らない可能性、機能しないツールを送ったり、再度お金を要求することがあります。

重要なのは、ウイルスの削除とファイルの復元は異なるタスクであることを理解することです。アンチウイルスはアクティブな脅威を取り除けますが、暗号化されたファイルは通常、暗号化されたまま残ります。したがって、すべてを削除したり、ドライブをフォーマットしたりすることは避け、復元の選択肢を評価するまで、そのままにしておきましょう。

感染時の最初の行動

ランサムウェアを発見してからの最初の数分は非常に重要です。あなたのタスクは、広がりを止め、データを最大限に保存し、分析のために行うことです。

ステップ	実施内容	理由
1	インターネットとネットワークを切断する	ウイルスがデータを転送したり、他のデバイスを感染させないようにするため
2	不必要にコンピュータをオフにしない	メモリに鍵や重要な攻撃の痕跡が残ることがあるため
3	外部ドライブを切断する	ランサムウェアがバックアップを破壊しないようにするため
4	身代金のメモを写真に撮る	これにより、ランサムウェアのタイプを特定するのに役立ちます
5	すぐに支払わない	支払いは復元を保証せず、犯罪者を助けることになります
6	他のデバイスをチェックする	感染の規模を理解する必要があります

暗号化が現在進行中で、ファイルが迅速に変更されている場合、電源を切るのは最終手段にしてください。たとえば、ネットワークケーブルを迅速に引き抜くことも、Wi-Fiを切断することもできない場合です。通常の状況では、データがRAMから失われないように、まずコンピュータをネットワークから隔離する方が良いです。

ランサムウェアウイルスを段階的に削除する方法

以下は、家庭用コンピュータや小規模オフィス向けの実用的な計画です。サーバー、会計データベース、Active Directoryドメイン、またはいくつかのワークステーションが感染している場合は、すぐに情報セキュリティの専門家を雇うことをお勧めします。

1. 感染したデバイスを隔離する

すぐにコンピュータをネットワークから切り離します：

1. Ethernetネットワークケーブルを抜きます。
2. システム設定やルーターの物理ボタンを使用してWi-Fiを切断します。
3. ストレージデバイスがBluetoothで接続されている場合、Bluetoothを切断します。
4. 外部ドライブ、フラッシュメモリ、メモリカードを外します。
5. 電話をストレージデバイスとして接続しないでください。

オフィスにいる場合は、同僚に警告してください。他のデバイスから共有ネットワークフォルダーを開かないでください。また、ランサムウェアがNASストレージにアクセスした疑いがある場合は、そのストレージも一時的に切断してください。

2. 感染の兆候を記録する

マルウェアを削除する前に、ランサムウェアのファミリーを特定するために役立つ情報を保存します：

• 身代金のメモのタイトル；
• メッセージのテキストまたはスクリーンショット；
• 新しいファイルの拡張子；
• 犯罪者のメールアドレス、Telegramアカウント、またはサイト；
• 機密情報を含まない暗号化されたファイルの例；
• 攻撃の開始日時と大まかな時間。

犯罪者に個人情報を送信しないでください。分析には、通常、メモと機密情報を含まない小さな暗号化ファイルがあれば十分です。

3. 暗号化が続いているか確認する

最近変更されたファイルのフォルダーを開き、新しい暗号化されたコピーが出現するかどうかを確認します。また、タスクマネージャーでCPUとディスクの負荷にも注意してください。

活動が続く場合は、文書、アーカイブ、不明なプログラムを起動しないでください。不明なプロセスを手動で削除しようとしないでください。誤った操作がデータの損失やシステムの故障を引き起こす可能性があります。

4. セーフモードまたは緊急メディアから起動する

ランサムウェアウイルスを削除するには、マルウェアプロセスが自動的にスタートしない環境を使用するのが最適です。

Windowsでは、セーフモードを試みることができます：

1. 回復オプションを開きます。
2. 特殊な起動オプションのセクションに進みます。
3. 追加のオプションで再起動を選択します。
4. インターネットが不要な場合はネットワークなしのセーフモードを起動します。
5. アンチウイルスを更新する必要がある場合は、ローカルネットワークを隔離した後、ネットワーク付きのセーフモードを使用してください。

さらに信頼性が高いのは、ブート可能なアンチウイルスメディアです。これは、別のチェック環境を持つUSBメモリまたはディスクです。それをクリーンなコンピュータで準備し、その後感染したデバイスをそのメディアから起動してドライブをスキャンします。

5. 完全なアンチウイルススキャンを実施する

信頼できる最新のアンチウイルスを使用してください。Windowsの内蔵保護機能、企業用EDR、または信頼できるベンダーからのスキャンユーティリティが適しています。重要なことは、ツールを公式サイトからのみダウンロードすることです。

推奨される順序：

1. クリーンなデバイスまたは隔離された環境でアンチウイルスデータベースを更新します。
2. すべてのローカルディスクに対して完全スキャンを実行します。
3. 外部メディアを別々にチェックしますが、それらのファイルは開かないでください。
4. アンチウイルスがそのオプションを提供している場合、見つかった脅威を隔離します。
5. スキャンレポートを保存します。
6. 疑わしい場合は、他の信頼できるスキャナでチェックを繰り返します。

常に複数の常駐保護アンチウイルスをインストールしないでください。競合する可能性があります。第2のチェックには、ポータブルスキャナーやブート可能なメディアを使用する方が良いです。

6. 疑わしいプログラムと自動起動を削除する

主要なチェックの後、システムと共に起動したものを確認します。多くの場合、ランサムウェアは悪意のある添付ファイル、海賊版アクティベーター、偽の更新、文書内のマクロ、または不適切なパスワードを持つリモートアクセスによって侵入します。

確認してください：

• 最近インストールしたプログラム；
• 自動起動要素；
• タスクスケジューラ；
• ブラウザの拡張機能；
• 不明なサービス；
• ダウンロードフォルダーと一時のディレクトリ；
• インストールしていないリモートアクセスツール。

不明な場合は、システムコンポーネントを手動で削除しないでください。アンチウイルスでチェックに送信するか、専門家に相談する方が良いです。不適切な削除は復元を困難にする可能性があります。

7. クリーンなデバイスでパスワードを変更する

ランサムウェアがシステム内で活動していた場合、パスワードの盗難も考えられます。感染が確実でないデバイスからのみ、資格情報を変更してください。

まず、次のサービスのパスワードを変更します：

• メールアカウント；
• クラウドストレージ；
• 銀行および決済サービス；
• Microsoft、Google、またはAppleのアカウント；
• 企業のVPNやリモートデスクトップ；
• サイトの管理パネル、CRM、会計システム；
• ルーターとNAS。

可能な場合は、二要素認証を有効にしてください。会社で共有パスワードが使用されている場合は、早急に変更する必要があります。

8. 復元前にバックアップを確認する

感染したシステムにバックアップディスクを接続しないでください。まずウイルスが削除されたことを確認し、その後別のクリーンなコンピュータまたは隔離された環境でバックアップを確認してください。

良いバックアップは次のようであるべきです：

• 感染前に作成された；
• 主コンピュータから物理的または論理的に分離された；
• 読み取り専用または変更から保護された；
• ファイルを開くことが可能であると確認された；
• マルウェアの実行ファイルを含まない。

バックアップがクラウドに保存されている場合、バージョン履歴を使用してください。多くのクラウドサービスでは、ファイルを大量の暗号化前の状態にロールバックすることができます。しかし、バージョンの保持期間は異なるため、迅速に行動する方が良いです。

9. 安全な方法でファイルを復元する

ランサムウェアを削除した後、データの復元に進みます。考えられるオプション：

1. バックアップ。 コピがすでに暗号化されていない場合、最も信頼できる方法です。
2. クラウドでのバージョン履歴。 クラウドサービスと同期されたファイルに適しています。
3. Windowsのシャドウコピー。 時々役立ちますが、多くのランサムウェアはそれを削除します。
4. 公式の復号ツール。 特定のランサムウェアファミリーに対して鍵が見つかった場合や実装の誤りがある場合は有効です。
5. 削除されたファイルの復元。 時にはマルウェアが暗号化したコピーを作成し、元のファイルを削除することがあります。この場合、復元ツールが役立つことがありますが、保証はありません。

大量に暗号化されたファイルの名前を一括で変更したり、不明な復号ツールを起動したりしないでください。元の暗号化ファイルを保管してください。後で作業ツールが見つかれば、必要になるかもしれません。

10. 信頼できない場合はシステムを再インストールする

成功裏に削除した後でも、隠されたアクセスのリスクが残ることがあります。感染が深刻な場合、システムを完全に再インストールするのが賢明です。

再インストール前に：

• 必要なユーザーファイルのみを保存します；
• 疑わしいプログラムを転送しない；
• 古いシステムからの実行ファイルを確認せずにコピーしない；
• アンチウイルスのレポートと身代金のメモを保存する；
• 公式サイトからインストールメディアを準備する；
• バックアップを確認する。

インストール後は、すぐにシステム、ドライバー、ブラウザ、オフィスアプリケーションを更新してください。その後、保護を有効にし、バックアップを設定し、その後データを復元してください。

ランサムウェアによるファイルの復号化は可能か

場合によっては復号化が可能です。ただし、これは特定のランサムウェアのタイプ、実装の質、および鍵の有無に依存します。現代のランサムウェアでは、高度な暗号化がしばしば使用されています。このような場合、鍵を特定することはほぼ不可能です。

復号化のチャンスを確認するために：

1. ファイルの拡張子とメモのテキストに基づいて、ランサムウェアのファミリーを特定します。
2. 知名度のあるランサムウェア識別サービスを使用します。
3. 信頼できるアンチウイルス企業や専門プロジェクトのサイトでのみ復号ツールを探します。
4. ツールの要求をあなたの状況と比較します。
5. 起動前に暗号化ファイルのコピーを作成します。

復号ツールが保護の無効化や「アクティベーション」の支払い、不明な実行ファイルのダウンロードを求める場合、高リスクです。援助の名の下に新しいマルウェアが広がることが多いです。

身代金を支払うべきか

身代金を支払うことは推奨されません。その理由はシンプルです：

• 犯罪者が機能する鍵を送る保証はありません；
• 鍵がファイルの一部しか復元できない可能性があります；
• 支払った後、再度攻撃を受ける可能性があります；
• お金が犯罪インフラストラクチャを支えます；
• 一部のケースでは、支払いが制裁や法的制限に違反することがあります。

ただし、特に重要なデータがある場合、組織がすべてのオプションを検討することがあるのも事実です。その場合、決定は弁護士、経営陣、セキュリティ専門家、および場合に応じて法執行機関と共に行うべきです。家庭用ユーザーには、脅威の除去、バックアップ、安全な復号ツールに焦点を当てる方が安全です。

企業ネットワークでの削除の特徴

ランサムウェアが企業に侵入した場合、単一のコンピュータのように行動するのは不十分です。感染はしばしばフィッシングメール、盗まれたVPNパスワード、脆弱なRDP、または管理者アカウントの侵害から始まります。

企業のインシデントで：

• 感染したノードをネットワークから切断します；
• 一時的に共有フォルダーへのアクセスを制限します；
• ドメインコントローラーとバックアップサーバーをチェックします；
• イベントログ、EDR、およびネットワークデバイスを保存します；
• 疑わしいアカウントをブロックします；
• 特権ユーザーのパスワードを変更します；
• ファイアウォールとVPNのルールをチェックします；
• 社内の責任者に通知します；
• 侵入経路が閉じるまでサーバーを復元しないでください。

最も重要な誤りは、バックアップからデータを急いで復元し、同じ脆弱性を残すことです。この場合、ランサムウェアは戻ってくるかもしれません。

ランサムウェアが削除されたかどうかを確認する方法

インシデントを分析せずに完全に自信を持つことは困難ですが、アクティブな脅威が停止されたという兆候はあります：

• 新しいファイルはもはや暗号化されない；
• アンチウイルスはアクティブなマルウェアプロセスを検出しない；
• 自動起動が疑わしい要素からクリアされている；
• 不明なアカウントが削除またはブロックされている；
• 疑わしいアドレスへのネットワーク接続がない；
• システムが更新されている；
• パスワードが変更されている；
• バックアップが確認されている；
• 再スキャンが脅威を検出しない。

重要なデータを保持しているコンピュータの場合、兆候で判断しない方が良いです。クリーンインストールを行ってください。これにより、手動でのすべての「隠れ蓑」を探すよりも早く、信頼性があります。

ランサムウェアを削除するときの典型的な誤り

誤りは復元の可能性を減少させる可能性があります。以下の行動を避けてください：

• すぐにディスクをフォーマットしない。 まず復号化と復元の可能性を評価してください。
• 身代金のメモを削除しない。 それはランサムウェアのタイプを特定するのに役立ちます。
• ランダムな復号ツールを起動しない。 それらはマルウェアである可能性があります。
• バックアップを感染したシステムに接続しない。 そうしないと、コピーも損なわれる可能性があります。
• 重要な痕跡を保存せずにシステムを再インストールしない。 これは組織の調査を妨げることになります。
• 古いパスワードを使用しない。 それらは盗まれている可能性があります。
• 不明なプログラムで暗号化されたファイルを開かない。 それは復元を早めることにはなりません。

混沌とした行動を少なくするほど、データを安全に戻す可能性が高くなります。

再感染から自分を守る方法

ランサムウェアを削除した後は、感染の原因を閉じることが重要です。さもなければ、同じ状況が繰り返される可能性があります。

3-2-1ルールに基づいてバックアップを設定する

3-2-1ルールとは：

• 3つのデータのコピー；
• 2種類の異なるメディア；
• 1つのコピーは主要デバイスまたはオフィスの外にあります。

例えば、業務ファイルはコンピュータに保存され、外部ディスクにコピーされ、さらにバージョン履歴のあるクラウドに保存されます。外部ディスクは常に接続されているべきではありません。そうでないと、ランサムウェアもそれを暗号化できます。

システムとプログラムを更新する

Windows、ブラウザ、オフィススイート、圧縮ツール、およびリモートアクセスの脆弱性は、攻撃にしばしば利用されます。自動更新を有効にしてください。使用しないプログラムは削除してください。特に、古いJavaやFlash類似コンポーネント、古いVPNクライアント、非現行のプラグインに注意してください。

リモートアクセスを保護する

RDP、VPN、またはリモート管理を使用する場合：

• 必要がなければ、インターネットからのアクセスを切断してください；
• 多要素認証付きのVPNを使用してください；
• IPアドレスでログイン制限を設けてください；
• 弱いパスワードを禁止します；
• いくつかの失敗した試みの後にロックアウトを実施します；
• ログイン記録をチェックします。

弱いパスワードのオープンRDPは、小規模企業への侵入の一般的な方法の一つです。

フィッシングを認識するようにユーザーを訓練する

ランサムウェアはしばしば添付ファイルが付いたメールを通じて届きます：請求書、業務契約書、履歴書、配信通知、またはパスワード付きの圧縮ファイルです。リスクの兆候：

• 送信者が不明；
• メールがファイルを緊急に開くように要求している；
• 添付ファイルの拡張子が.exe、.js、.vbs、.scrまたは二重拡張子；
• 文書がマクロを有効にするよう要求している；
• リンクが疑わしいドメインに導く；
• テキストが機械翻訳のように見える。

最良のルールは：ファイルが予期せずメールで届いた場合、他のチャネルで送信者に確認してください。

重要なフォルダーの変更を防ぐ保護を使用する

Windowsには、アプリケーションの不正アクセスを保護されたフォルダーに制限する機能があります。また、多くのアンチウイルスもファイルの大量変更を追跡できます。利用可能な場合は、これらの機能を有効にし、例外を信頼されたプログラムのみに追加してください。

印刷用の簡易ガイド

すぐに状況を把握する必要がある場合は、このチェックリストを使用してください：

1. インターネット、Wi-Fi、ネットワークケーブルを切断します。
2. 外部ドライブとフラッシュメモリを外します。
3. 身代金のメモとファイルの拡張子を写真に撮ります。
4. 支払わず、未知の復号ツールを起動しないでください。
5. セーフモードまたはアンチウイルスUSBから起動します。
6. 完全なスキャンを実施し、脅威を削除します。
7. クリーンなデバイスでパスワードを変更します。
8. バックアップを個別に確認します。
9. バックアップ、クラウド、または公式復号ツールからファイルを復元します。
10. システムを更新し、再攻撃に備えて保護を設定します。

ランサムウェアに関するよくある質問

ランサムウェアウイルスをファイルを失うことなく削除できますか

多くの場合、マルウェアを削除することは可能ですが、ファイルの復元が自動的に行われるわけではありません。データがすでに暗号化されている場合、バックアップ、公式復号ツール、または他の復元方法が必要です。したがって、まず脅威を停止し、その後データのコピーに取り組んでください。

暗号化されたファイルの名前を変更することは役に立ちますか

通常は役に立ちません。拡張子は単なる外部の兆候に過ぎません。ファイルの内容は既に暗号的に変更されています。名前の変更は、ランサムウェアのタイプを自動的に識別するのを難しくする可能性があります。元の名前を保存し、実験の前にコピーを作成する方が良いです。

Windowsのシステム復元を使用できますか

システムの復元は設定を戻すのに役立つことがありますが、ユーザーファイルを復号することはまれです。さらに、多くのランサムウェアは復元ポイントやシャドウコピーを削除します。この方法を使用する際は注意が必要で、アクティブな脅威を削除した後にのみ行ってください。

外部ドライブが暗号化された場合はどうすれば良いですか

すぐにドライブを切断し、感染したコンピュータに接続しないでください。クリーンなシステムで更新されたアンチウイルスでチェックしてください。ドライブのバックアップがある場合は、元のドライブではなくコピーを使用してください。チェックが終わるまで、メディア上のファイルを実行しないでください。

ランサムウェアを特定するにはどうすれば良いですか

暗号化されたファイルの拡張子、身代金メモの名前、メッセージのテキストを確認してください。それから信頼できるランサムウェア識別サービスまたはアンチウイルス компанのサイトを使用してください。機密文書を公開しないでください。

警察に連絡すべきですか

損害が重大であり、個人データ、ビジネスシステム、または金融情報が影響を受けた場合、法執行機関への連絡は理にかなっています。組織にとっては、インシデント対応手続きの必須要件となることがあります。ログと証拠を保存してください。

削除後にコンピュータを引き続き使用できますか

単純な家庭用ケースでは、検査がクリーンでシステムが更新され、パスワードが変更され、安全なソースからファイルが復元されていれば、使用可能です。しかし、資格情報が盗まれた場合、ネットワークフォルダーが感染した場合、または疑念がある場合は、システムを完全に再インストールするのが良いでしょう。

結論

ランサムウェアウイルスを削除して状況を悪化させないために、計画に従って行動してください：デバイスを隔離し、攻撃の兆候を保存し、信頼できるアンチウイルスでシステムをチェックし、パスワードを変更し、必ず確認したソースからファイルを復元してください。感染したコンピュータにバックアップを接続せず、ランダムな復号ツールを起動しないでください。データが重要な場合や感染がネットワークに影響を与えた場合は、専門家に相談してください。迅速で慎重な行動が、安全に復元する可能性を高めます。