新年にランサムウェアの「ばらまき攻撃」が「顔文字メール」で復活: "Haniwaのページ"作者のblog

元旦から件名が顔文字で本文が英文で添付ファイルのあるウィルスメールがものすごい量で届いている。

うちに届くフィッシングメールにはいくつかのパターンがあるのだが、このウィルスメールはそれとは違う。ある特定のアドレスだけに届くのだ。メールアドレスの漏洩ルートが今までのとは違うのだろう。

さて、問題は、このウィルスメールが元旦から今日まで200通以上も届いているのに、ネット上にこの情報が少ないことだ。

いつもならすぐにツイートしている警視庁サイバーセキュリティ対策本部 (@MPD_cybersec) は、去年の12月27日のツイートが最後だし、その元情報だと思われるJC3（一般財団法人日本サイバー犯罪対策センター）の犯罪被害につながるメールの注意喚起情報も去年の12月28日の情報が最新のままだ。いつまで正月休みなんだ？と思っていた。

Google検索してもあまり情報がないので、久しぶりにTwitterにログインして検索してみたら、元旦から同じようなウィルスメールが大量に着弾しているという人が複数いた。

それで、JC3に情報提供したのだが、なしのつぶて（だから最初の20通で情報提供はやめた）。

そうしたら、ウィルスバスターのトレンドマイクロ社が1月11日付けで情報を出していた。
新年にランサムウェアの「ばらまき攻撃」が「顔文字メール」で復活（トレンドマイクロセキュリティブログ 2019年1月11日）

添付ファイルを開くとランサムウェアとコインマイナーが侵入するらしい。届いたメールはとっとと削除しておこう。サーバーに残す設定にしているので、メールサーバーからも削除しておこう。うちは、メールサーバーとの間の通信を暗号化しているので、メールソフトに届いた時点ではウィルススキャンしていないのだ。メールソフトから添付ファイルを開いたり名前を付けて保存する段階で初めてウィルススキャンされる設定になっている。アンチウィルスソフトがこの添付ファイルをウィルスだと判定できなければアウトだ。

ただ、外国名の差出人で、件名も日本ではあまり使わない顔文字だし、本文も英文なので、ほとんどの人は開かずに捨てるだろう。

だからといって情報がほとんどないのはどうしたものか。この添付ファイルを開いてしまうと、PC上の大事なファイルが暗号化されて身代金を払わないと復号できないと脅されるのだ。一般財団法人日本サイバー犯罪対策センターや各種ネットメディアはちゃんと情報を公開しろよなぁ。

ということで、トレンドマイクロの上記情報はありがたい。

【関連追記】
ランサムウェア「GandCrab」対応復号ツール、100万ドル超の被害回避--Bitdefender報告（2018年11月01日）
現時点ではGandcrab v5.04やGandcrab v5.1の復号化ツールはなく、感染したら戻す手段はないそうだ。
【追記：2019年2月25日】Gandcrab v5.1までの復号ができるようになったようだ。ランサムウェア「GandCrab」の復号ツールが機能強化 - 最新版にも対応参照。ただし、Gandcrab v5.2が出回るようになったらしいのでいたちごっこである。【追記ここまで】
1/1-13の顔文字件名のスパムメールによるPhorpiex/GandCrabの調査まとめ（S-Owl 2019年1月14日）
ウイルス付き横書き顔文字メール（E Flat Ｂ倉庫 Blog 2019年1月5日）
ウイルス付き横書き顔文字メール(2)（E Flat Ｂ倉庫 Blog 2019年1月9日・16日）
【関連追記ここまで】

【さらに関連追記：2019年1月29日】
しばらく治まっていたランサムウェア（ウィルス）メールだが、再び大量に送られて来ている。
1/1-13の顔文字件名のスパムメールによるPhorpiex/GandCrabの調査まとめ（S-Owl 2019年1月14日）の記事に従って、ルータのパケットフィルタで92.63.197[.]48と92.63.197[.]60に対して両方向ともアクセスできないように設定した。これで万が一ファイルを実行して、アンチウィルスソフトが検知漏れをしても、ランサムウェアがPCにダウンロードされるのを防ぐことが可能になる。万全ではないが、もう一段防御したことになる。S-Owlさんの情報に感謝します。
【さらに関連追記】ここまで。

【さらにさらに追記：2019年2月4日】
ランサムウェア「Love you」、日本を標的とした大規模なキャンペーン （2019年2月1日マイナビニュース）
”ランサムウェア「Love you」”という呼び方は、昔あった”「I LOVE YOU」ウィルス”と紛らわしいなぁ。ここにきても、JC3（一般財団法人日本サイバー犯罪対策センター）や警視庁サイバーセキュリティー対策本部は、このランサムウェア攻撃を無視するのな。
【さらにさらに追記ここまで】

写真は記事とは関係ない。JR新宿駅1番線広告「ルミネ」と「シネマヤリ子」（2018年12月撮影）：Ricoh GR、18.3mm(35mm版28mm相当)、F2.8開放、1/40秒、プログラムAE、ISO-AUTO(ISO 200)、AWB、画像設定：スタンダード

いつも楽しみにしているルミネの広告。ルミネというのはいまではJR東日本の子会社だが、元は国鉄が許された数少ない副業のひとつ。

さて、問題はルミネの広告じゃなくてその後ろのビルの広告だ。私はずっと「シネマヤリ子」だとぼーっと読んでいた。今回写真を撮ろうとよーく見てみると、横文字で"CINEMA QUALITE"と書いてあるじゃないか。シネマヤリ子じゃなくてシネマカリテだったのかっ(笑)。

【関連追記】
蜷川実花×尾形真理子のルミネ新広告　モデルは八木莉可子、小説企画も（cinra.net 2018年2月1日）