Dharma(ダルマ)が猛威を奮っています。代理店様からのご相談でDharma(ダルマ)ランサムウェア感染後の対処手順をご質問いただきました。動きや概要、削除方法や複合化ツールの存在についてお知らせします。追記)記事詳細より、とりあえず元に戻すツールが欲しい方は下記https://www.nomoreransom.org/decryption-tools.htmlに有志のツールが更改されていますので、自己の責任においてご利用ください。従来のランサムウェアと同様に、感染PCのファイルを暗号化して読めなくしてしまいます。ファイル名の拡張子が本来のファイル名の末尾に[請求元メールアドレス].wallet(例)company.jpg→company.jpg.[Joker_lucker@aol.com].walletconference.word→conference.word.[Joker_lucker@aol.com].dharmaなどに変更されます。支払う必要があるそうです。最近AmazonやAppleから、「あなたのアカウントが使われました」というような内容のメールがよく届き、ここをクリックして確認くださいというリンクが貼られています。IDを使ってFaceTimeのログインがされました。心当たりありますか?と。アクセス先を確認するとdpbizinternship.com・・・。どこかのWebサーバにこっそり感染コードを仕込まれているようです。Pointよりアクセスブロックのメッセージが出てきました。同じような手口でDharmaへの感染事例を代理店様のお客様でご報告いただいています。追記)リモートデスクトップの3389ポートを公開している端末に感染している例があるそうです。ポートスキャンの後パスワードクラックを経て(ブルートフォース攻撃)Dharmaに感染させられた手口については様々なサイトで紹介されています。各セキュリティベンダの対応状況https://www.virustotal.com/en/file/e9e82b145d90c2c5728068a0598a17aeb239b46446ff0c809d9dfa2811d46b42/analysis/VirusTotalという、献体されたファイルについてセキュリティベンダ各社の対応状況が確認できるサイトがあります。いう種類のランサムウェア(現在のDharmaは殆どがCrysis派生)の最新版としてぽつぽつ情報が上がってきています。2017年1月11日時点ではまだまだ検出ができていませんでした。55社中という結果でした。その中で、Kasperskyが対応していました。対応しているということでした。PointはアンチウイルスエンジンについてKasperskyの物と自社の物の両方を使用しているため対応できたようです。世間では、削除ツールが出回っていますが信頼できるところから以外の削除ツールは他のマルウェアにさらに感染する恐れがありますので手動での感染確認と削除の手順を記載いたします。10で取得しています。1)コントロールパネルを開きアプリケーションの追加と削除を開く該当するランサムウェアを削除する。2)レジストリからランサムウェアのエントリを削除レジストリエディタを起動します。入力して[OK]を押す確認画面を[OK]する。4)レジストリエディタからの編集(*注意:レジストリを変更する際は、必ずエクスポートを事前に実施ください)下記の3エントリを削除する。“13376694984709702142491016734454”3.HKEY_CURRENT_USER\Software\13376694984709702142491016734454レジストリエディタを終了して、再起動します。Dharmaに暗号化されたファイル、データの復元方法1)お金を払うBitCoin、身代金を払うことで、データが復旧できる(かもしれません)ただし、被害にあった人が身代金を支払った実績ができてしまうため攻撃者は「ランサムウェアって儲かるのだなぁ」と、結果的に攻撃者のランサムウェアビジネスを加速させることになります。2)有志のツールを使用するこちらも削除ツールと同じく、信頼できるところから以外の複合化ツールは他のマルウェアにさらに二次感染する恐れがあります。当社から、「明確にここにある複合化ツールは安全」とお勧めができません。Googleなどで検索頂ければ多数見つかる複合化ツールの中から選んで試していただくことになります。最近Dharmaに対応されていますが、自己の責任においてご実施ください。3)クラウドバックアップを取得しておく暗号化された場合も、手元の環境と全く隔絶されたところにデータバックアップを取っておくと最も安心です。復元ツールを任意のパソコンにインストールして、いつでも好きな時点のデータを戻すことができます。お問い合わせ代理店様サポート。