コンピュータを ransomware から治療する方法：ステップバイステップガイド

もしコンピュータを ransomware から治療する必要があるなら、最も重要なのはパニックにならず、急激な行動をしないことです。 ransomware はファイルへのアクセスをブロックし、復号化のために身代金を要求します。この記事では、感染後の最初の行動、安全なマルウェアの削除、データ復旧のオプションの確認、再攻撃の予防、よくある質問への回答を解説します。

重要な点：コンピュータの治療とファイルの回復は異なるタスクです。アンチウイルスはアクティブなマルウェアを削除できますが、すでに損傷を受けた文書、写真、データベース、またはアーカイブを復号化できるとは限りません。したがって、行動の順序は非常に重要です。

ransomware とは何か

ransomware は、ユーザーファイルを見つけて暗号化する悪意のあるプログラムです。その後、画面またはフォルダーに身代金要求のメモが表示されます。通常、それには金額、暗号通貨のウォレット、支払い期限、および復号鍵を削除するという脅威が含まれています。

暗号化されることが多いのは：

• Microsoft Office および PDF 文書；
• 写真と動画；
• ZIP、RAR、7z アーカイブ；
• データベースおよび会計ファイル；
• プロジェクト、図面、ソースコード；
• 接続されたネットワークドライブや外部ストレージのファイル。

ransomware は、メールの添付ファイル、悪意のあるリンク、海賊版ソフトウェア、リモートアクセスの脆弱性、感染した USB メモリ、またはハッキングされたアカウントを通じてコンピュータに侵入することがあります。企業ネットワークでは、1台の感染したマシンがサーバや共有フォルダへの攻撃の侵入点となることがあります。

コンピュータが ransomware に感染しているかどうかを確認する方法

感染の兆候は通常すぐにわかりますが、攻撃は時々徐々に発展します。問題を早期に認識するほど、被害を制限する可能性が高くなります。

主な症状

• ファイルが開かなくなった（以前は開いていた）。
• ドキュメントに奇妙な拡張子が付いている（例：.locked、.crypt、.encrypted またはランダムな文字のセット）。
• フォルダー内に readme.txt、how_to_decrypt.html、restore_files.txt といったファイルが出現した。
• デスクトップが変更され、身代金要求が表示された。
• コンピュータが急に遅くなり、ディスクが活発に動作しているが、何も起動していない。
• アンチウイルスが ransomware、トロイの木馬、ドロッパー、または疑わしいプロセスを報告した。
• Windows のシャドウコピーまたは復元ポイントにアクセスできない。

何をしてはいけないか

誤った行動は状況を悪化させる可能性があります。だからといって、Windows を急いで再インストールしたり、何でも削除したりしないでください。

推奨されない行動：

• 専門家に相談せずに身代金を支払うこと；
• 感染 ID が含まれている場合は脅迫者のメモを削除しないこと；
• 暗号化されたデータのコピーを作成する前にディスクをフォーマットしないこと；
• 感染したコンピュータにバックアップドライブを接続しないこと；
• フォーラムから不審な「復号ツール」を実行しないこと；
• コンピュータが共有フォルダに接続されている場合はネットワークで作業を続けないこと。

支払いは復旧を保証するものではありません。さらに、攻撃者が機能しないキーを送り、追加料金を要求したり、同じインフラに再度攻撃したりする可能性があります。

感染時の最初の行動

以下は、家庭用 PC およびオフィスでのワークステーションに適した基本的な手順です。サーバー、ドメインネットワーク、または重要なデータベースが感染している場合は、すぐに情報セキュリティの専門家を雇うのがベストです。

ステップバイステッププラン

1. インターネットとローカルネットワークを切断します。 ネットワークケーブルを抜き、Wi-Fi や Bluetooth をオフにします。これにより、コマンドサーバーとの接続が停止され、ネットワークフォルダの感染リスクが低下します。
2. 暗号化プロセスがまだ進行中である場合は、コンピュータを急にオフにしないでください。 まずネットワークを切断します。その後、ディスクにアクティブな負荷があるか確認します。疑わしい場合は、画面を写真に撮り、専門家に相談してください。
3. 外部ストレージを切断します。 フラッシュドライブ、USBドライブ、またはネットワークストレージが接続されている場合は、それらを切り離します。ただし、点検を行うまで他のコンピュータに接続しないでください。
4. 身代金要求のメッセージを撮影します。 アドレス、拡張子、犠牲者の ID、および命令ファイルのタイトルを記録します。
5. 暗号化されたファイルのコピーを作成します。 重要なデータを個別のクリーンストレージまたはディスクイメージにコピーします。これは、機能する復号ツールが現れた場合の将来的な復号化のために必要です。
6. 暗号化が続いているかどうかを確認します。 タスクマネージャを開いて、ディスクまたは CPU に高い負荷をかけている疑わしいプロセスを確認します。確信がない限り、無造作に削除しないでください。
7. 信頼できるアンチウイルスツールでスキャンを実行します。 起動可能なアンチウイルスディスクや、有名メーカーのスキャナーを使用することをお勧めします。
8. 脅威が削除された後にデータの回復に進んでください。 バックアップ、Windows のシャドウコピー、または ransomware のバリアントに対して存在する場合は公式の復号ツールを使用してください。

この順序は、追加のファイルを失うリスクを低減し、感染の証拠を保存するのに役立ちます。

ransomware を安全に削除する方法

ransomware の削除は慎重に行う必要があります。目的は、マルウェアを停止し、自動起動を削除し、システムをチェックし、再起動後に脅威が戻らないことを確認することです。

治療の準備

治療前に3つのステップを実行します：

• 脅迫者のメモのコピーを保存します；
• 分析のためにいくつかの暗号化されたファイルをコピーします；
• データが重要な場合は、ディスク全体のバックアップを作成します。

たとえファイルが現在開かなくても、それらは無駄なものとは見なせません。いくつかの愁訴ファミリーでは、後に無料の復号ツールが出現することがあります。オリジナルの暗号化されたファイルがなければ、復号は不可能です。

セーフモードでのチェック

Windows では、ネットワークサポートのあるセーフモードまたはないセーフモードで起動できます。ransomware がサーバーと通信を続けるリスクがある場合は、最初にネットワークなしのモードを選択するのが良いでしょう。

一般的な手順：

1. Windows の回復オプションを開きます。
2. 追加の起動オプションセクションに移動します。
3. セーフモードを選択します。
4. アンチウイルススキャンを実行します。
5. 発見された脅威を削除するか、隔離します。
6. コンピュータを再起動し、再スキャンを実行します。

ただし、セーフモードが常に役立つわけではありません。一部の最新の ransomware はサービス、タスクスケジューラ、ドライバー、または管理者の資格情報を利用します。そのため、手動での削除だけでは不十分な場合があります。

ブートアンチウイルスの使用

ブート可能なアンチウイルスストレージは、最も安全なオプションの一つです。これにより、Windows よりも前に起動し、感染したシステムがアクティブに動作していない間にディスクをスキャンします。

このアプローチの利点：

• 悪意のあるプロセスが起動する前に；
• ブロックされたファイルを削除しやすい；
• ransomware がチェック中に妨害するリスクが低い；
• 最新のデータベースでシステムを確認できる。

著名なセキュリティプロバイダーのソリューションを使用してください。公式サイトからのみダウンロードします。クリーンなコンピュータでブート可能なフラッシュドライブを作成します。

自動起動の手動チェック

自動クリーニングの後、マルウェアが再び起動する可能性のある場所を確認するのが役立ちます：

• ユーザーおよびシステムの自動起動フォルダー；
• Windows のタスクスケジューラ；
• レジストリの Run および RunOnce セクション；
• 一時フォルダー %Temp% および %AppData%；
• 最近インストールされたプログラム；
• 疑わしいサービス；
• ファイアウォールのルール；
• ブラウザの拡張機能。

手動削除には経験が必要です。自信がない場合は、レジストリやシステムサービスを変更しないほうが良いでしょう。誤った操作は Windows の不安定な動作を引き起こす可能性があります。

いつシステムを再インストールするべきか

場合によっては、コンピュータを ransomware から治療しても十分な安心感が得られないことがあります。次のような状況で Windows を再インストールすることが正当化されます：

• 管理者権限での感染；
• アンチウイルスが脅威を再度検出する；
• セキュリティサービスが無効にされている；
• システムに他にどのようなマルウェアが残っているかわからない；
• コンピュータが銀行取引、会計、またはサーバーの管理に使用されていた；
• 攻撃者がリモートアクセスを取得した。

再インストールの前に、暗号化されたファイル、脅迫者のメモ、および重要なログを保存してください。その後、ディスクをクリーニングし、システムを再インストールし、Windows を更新し、アンチウイルスをインストールしてから、バックアップを接続してください。

ransomware 後にファイルを復元する方法

アクティブな脅威が削除された後、復元に進むことができます。ここで重要なのは、できないことを約束しないことです：すべての ransomware を復号化する普遍的な方法はありません。しかし、いくつかの正当で安全な選択肢があります。

復元方法の比較

方法	適用時期	リスクと制限
バックアップ	感染前のクリーンなバックアップがある	バックアップが感染していないこと、または暗号化されていないことを確認する必要があります
Windows シャドウコピー	システム保護が有効で、コピーが削除されていない	多くの ransomware がシャドウコピーを削除します
公式の復号ツール	ransomware ファミリーがすでに調査されている	すべてのバリアントに対する復号ツールは存在しません
削除されたファイルの復元	ransomware がコピーを作成し、オリジナルを削除	結果はディスクの状態と攻撃後の時間に依存します
専門家に相談	データが重要です	料金がかかりますが、エラーのリスクを低減します

バックアップからの復元

最も信頼性の高い方法は、感染前に作成されたバックアップからデータを復元することです。ただし、感染したコンピュータにバックアップを接続する前に完全にクリーニングしてください。さもなければ、ransomware がコピーも暗号化する可能性があります。

正しい手順：

1. システムをクリーニングまたは再インストールします。
2. 更新プログラムとセキュリティソフトをインストールします。
3. バックアップストレージをアンチウイルスで確認します。
4. コピーの日付が感染の前であることを確認します。
5. データを別のフォルダーに復元します。
6. いくつかの文書を選別的に確認します。
7. その後、ファイルを作業ディレクトリに戻します。

ビジネスの場合、まずアイソレート環境でデータを復元することが望ましいです。これにより、データベースの整合性、アクセス権、ログを確認できます。

Windows シャドウコピーの確認

Windows はファイルのシャドウコピーや復元ポイントを作成することがあります。ransomware がそれらを削除していない場合、以前のバージョンを復元できます。

次のように試してみてください：

1. 損傷したファイルがあるフォルダーを右クリックします。
2. 「プロパティ」を選択します。
3. 「以前のバージョン」タブを開きます。
4. 感染前のバージョンを選択します。
5. それを安全な場所にコピーします。

タブが空である場合、コピーが無効にされているか削除されている可能性があります。「すべてのシャドウコピーを復元する」ことを約束する不審なプログラムはインストールしないでください。しばしばそれらは無駄か危険です。

無料の復号ツールを探す

一部の ransomware に対しては、無料の復号ツールが存在します。これらはアンチウイルス会社や国際的な ransomware 撲滅プロジェクトによって公表されています。

復号が可能かどうかを確認するには：

• アンチウイルスのレポートで ransomware ファミリーの名前を探します；
• 暗号化ファイルの拡張子を確認します；
• 脅迫者のメモを保存します；
• 著名な組織の ransomware 同定サービスを使用します；
• 復号ツールを公式なソースからのみダウンロードします。

攻撃者に追加のファイルを送信しないでください。必要がない限り、復号ツールを実行しないでください。不正な回復手段は再感染を引き起こす可能性があります。

元の削除されたファイルの復元

古い ransomware のいくつかは、ファイルの暗号化コピーを作成し、オリジナルを削除しました。この場合、削除されたデータを復元するプログラムが役立つことがあります。しかし、成功はディスクのセクターが上書きされたかどうかに依存します。

重要なこと：

• 同じディスクに復元ツールをインストールしないでください；
• 発見されたファイルを元のパーティションに保存しないでください；
• データが特に貴重な場合はディスクのイメージを作業します；
• 復元を試みる前にディスクのデフラグおよびクリーンアップを行わないでください。

SSD では、TRIM コマンドが削除されたブロックをクリアするため、結果が悪くなることが多いです。そのため、ディスクへの記録を早期に停止すればするほど、良い結果が得られます。

身代金を払うべきか

身代金を払うことは非常にリスクが高いです。キーを得られなかったり、動作しないプログラムを受け取ったり、再攻撃の標的になったりする可能性があります。さらに、支払いは犯罪行為を支援します。

それにもかかわらず、現実の世界では、企業はしばしば生産が停止したりバックアップが存在しない場合にこのオプションを考慮します。この場合、決定は法的な相談、制裁リスクの評価、インシデントの専門家による確認および代替案の分析の後に行うべきです。家庭用ユーザーにとっては支払いはほとんど常に最悪の選択肢です。

まずは安全な方法を徹底的に尽くしてください：バックアップ、シャドウコピー、公式の復号ツール、削除されたファイルの回復、および専門家による査定です。

どの ransomware がコンピュータに感染したかを判断する方法

ransomware ファミリーの識別は、復元方法を選択するのに役立ちます。時には、ファイルの拡張子だけで情報を見つけることができますが、これは必ずしも信頼できるわけではありません。さまざまなマルウェアが似たような拡張子を使用することがあります。

次のデータを収集します：

• 脅迫者のメモのテキスト；
• 指示のメールアドレスやウェブサイト；
• 暗号化されたファイルの拡張子；
• 個人情報の含まれない暗号化されたファイルのサンプル；
• 同じファイルの元の未暗号化バージョンがある場合は；
• 感染日時の約日付；
• アンチウイルスのレポート。

これらの情報は識別サービスや専門家に役立ちます。しかし、機密文書を公開しないでください。

自宅のコンピュータと職場ネットワークの治療

アプローチは、感染の規模によって異なります。家庭用 PC は通常、隔離機能を持ち、復綴を行うのが簡単です。オフィスでは共有フォルダ、サーバー、アカウント、およびイベントログを考慮する必要があります。

家庭用コンピュータが感染している場合

家庭用ユーザーのための合理的なプランは次の通りです：

1. インターネットを切断します。
2. 証拠と暗号化されたファイルのコピーを保存します。
3. ブート可能なアンチウイルスでシステムをスキャンします。
4. 検出された脅威を削除します。
5. 他のクリーンなデバイスでパスワードを変更します。
6. クラウドストレージとバージョン履歴を確認します。
7. バックアップや公式の復号ツールからデータを復元します。
8. Windows、ブラウザ、プログラムを更新します。
9. 定期的なバックアップ機能を設定します。

個別にクラウドとの同期も確認します。暗号化されたファイルがクラウドストレージにアップロードされる前に間に合った場合、サービスのバージョン履歴やゴミ箱を使用して戻すことができます。

組織が感染した場合

企業の場合、コンピュータを ransomware から治療するだけでなく、侵入経路を理解することが重要です。さもなければ、攻撃が再発する可能性があります。

実行すべきこと：

• 感染したワークステーションとサーバーを隔離します；
• 脅威となるアカウントを無効にします；
• イベントログを収集します；
• ドメインコントロールを確認します；
• リモートアクセス、VPN、RDP を分析します；
• マルウェアのタスクやスクリプトを探します；
• データ漏洩の評価；
• 確認済みのバックアップからの復元；
• パスワードとアクセスキーの変更；
• インシデントの文書化。

個人情報、財務システム、または重要なインフラに影響を与えた場合、規制機関や顧客に通知する法的義務が生じる場合があります。そのような問題は、弁護士や専門家と共に解決する方が良いです。

再感染を防ぐための対策

予防は攻撃後の復元よりも安価で信頼性があります。ransomware は老朽化したプログラム、弱パスワード、オープンRDP、バックアップの欠如、添付ファイルへの注意不足など、同じ弱点を利用することがよくあります。

3-2-1 ルールに従ってバックアップを設定します

3-2-1 ルールは以下を意味します：

• 重要なデータの 3 つのコピー；
• 2 つの異なるタイプのメディア；
• 1 つのコピーは主要なシステムから separata に保存します。

たとえば、作業ファイルはコンピュータ上に、コピーは外部ドライブに、さらにもう一つはバージョン履歴のあるクラウドにあります。外部ドライブは常に接続しておいてはいけません。そうしないと、ransomware が暗号化してしまう可能性があります。

復元を定期的に確認します。復元できないバックアップは信頼できる保護ではありません。

システムとプログラムを更新します

Windows、ブラウザ、オフィススイート、アーカイバ、リモートアクセスにおける脆弱性は、感染に利用されることがよくあります。自動更新を有効にしてください。使っていないプログラムは削除してください。常に管理者アカウントで作業しないでください。

特に注意を払うべきは：

• Windows Update；
• Microsoft Office または代替オフィススイート；
• ブラウザおよび拡張機能；
• 本当に必要な場合は Java；
• アーカイバ；
• VPN クライアント；
• リモートアクセスプログラム。

リモートアクセスを保護します

オープン RDP と簡単なパスワードは、ransomware インシデントの一般的な原因です。リモートアクセスが必要な場合は、VPN、多要素認証、複雑なパスワード、および IP アドレス制限を使用してください。

推奨されること：

• RDP が必要でない場合は無効にします；
• インターネットを介して管理者が直接ログインすることを禁止します；
• いくつかの失敗した試行の後にロックアウトを有効にします；
• ユニークなパスワードを使用します；
• ユーザーリストを定期的に確認します；
• ログインのログを有効にし、監視します。

ユーザーを教育します

感染の大部分は、人間の行動から始まります：予期しない添付ファイルを開く、マクロを有効にする、「アクティベーター」を実行する、または疑わしいサイトからプログラムをダウンロードすることです。

有用なルール：

• 予期しない添付ファイルを開かない；
• 送信者のアドレスを確認する；
• 必要がなければドキュメント内のマクロを有効にしない；
• 公式なサイトからプログラムをダウンロードする；
• 海賊版ソフトウェアを使用しない；
• 疑わしいメールについては管理者に報告する；
• アンチウイルスの警告を無視しない。

ransomware に関するよくある質問

データを失わずにコンピュータを ransomware から治療できますか？

時々、クリーンなバックアップがある場合、シャドウコピーが保持されている場合、または特定の ransomware に対して無料の復号ツールが存在する場合は可能です。しかし、ウイルスを削除すること自体はファイルの復号化を保証しません。

アンチウイルスが ransomware を削除しましたが、なぜファイルが開けないのですか？

アンチウイルスはマルウェアプログラムを削除しますが、ファイルは依然として暗号化されたままです。それにアクセスするには復号キー、バックアップ、または別の復元方法が必要です。

コンピュータの電源を切る必要がありますか？

まずネットワークを切断してください。完全なシャットダウンは暗号化を停止させることがあり、しかしデータ収集に対しては妨げることがあります。データがクリティカルであれば、デバイスを隔離し、専門家に相談する方が良いでしょう。

オンラインでファイルを復号化できますか？

一部のサービスは ransomware のタイプを特定するのを助け、復号ツールがあるかどうかを教えてくれます。しかし、機密文書を不明なサイトにアップロードしないでください。信頼できるリソースのみを使用してください。

Windows のシステムの復元は役立ちますか？

システムの復元は、設定の一部を戻すことができますが、通常は個人的なファイルを復号化しません。加えて、多くの ransomware は復元ポイントを削除します。暗号化されたデータを保存した後、確認することができます。

バックアップディスクをすぐに接続してはいけない理由は？

ransomware がアクティブな場合、接続されたディスクを暗号化する可能性がります。最初にシステムをクリアまたは再インストールする必要があります。その後、ストレージを確認し、最後にデータを復元します。

クラウドにファイルが暗号化されている場合はどうすればよいか？

感染したコンピュータで同期を無効にします。その後、クリーンなデバイスからクラウドにログインし、バージョン履歴、ゴミ箱、または一括復元機能を確認します。多くのサービスが攻撃前の状態にファイルを戻すことができます。

行動の簡潔なチェックリスト

時間がない場合は、このリストを使用してください：

1. コンピュータを Internet とローカルネットワークから切り離します。
2. フラッシュドライブやバックアップドライブを接続しないでください。
3. 身代金要求のメッセージを撮影します。
4. 脅迫者のメモと暗号化されたファイルのコピーを保存します。
5. ブート可能なアンチウイルスでシステムをチェックします。
6. 見つかった脅威を削除するか、Windows を再インストールします。
7. クリーンなデバイスでパスワードを変更します。
8. バックアップ、シャドウコピー、クラウドのバージョンを確認します。
9. 復号ツールを公式リソースでのみ探します。
10. 保護と定期的なバックアップを設定します。

結論

コンピュータを ransomware から治療するには、順序に従ってください：デバイスを隔離し、証拠を保存し、信頼できるツールでマルウェアを削除し、その後ファイルを復元します。急いで身代金を支払ったり、疑わしい復号ツールを起動したりしないでください。データが重要であれば、ディスクのコピーを作成し、専門家に相談してください。復元後は、更新、リモートアクセスの保護、バックアップ機能を設定し、次回の攻撃が災害とならないようにします。