やられました…Qlockerマルウェア

一部で話題になったQNAP NASのマルウェア騒動…思いっきり直撃しました。

ある日、いきなりスマホのメールに自宅のNASからエラーメッセージが送られてきた。マルウェアがなんちゃらかんたらと書かれている、よく分からないがまたウィルスの警告だろうか。取りあえずシャットダウンしておこうかとリモートで電源を落としておく…実はこれが良くなかったのだが。

自宅に戻ってNASのファイルを見てみると何やら見たことのないファイルが各フォルダ毎に出来ている、なんだこれ。

要は「あなたのファイルは全て暗号付きで圧縮した。解凍のパスワードが欲しければ身代金を払え！」と言う脅迫状。調べて見たらこれまで撮影した写真やiPhoneにいれる音楽ファイルが全て7zで圧縮されている、解凍しようとしてみるとパスワードを聞いてきて解凍できないガーン。

仕方がないのでQNAPサポートに何か対策はないか問い合わせたところ、まだ再起動していなければNAS上のどこどこにログファイルがあるのでそれを見るとパスワードが書いてあるらしい。しまった再起動してしまっている、とは思ったがダメ元で指定されたフォルダを見てみるといくつかあるNASの1つにはまだログファイルが残っていた。一応パスワードらしいものも記されていたのでこれで解凍を試してみるがどうもうまくいかない、仕方がないのでログファイルを添付してQNAPサポートに問い合わせてみる。

と、ここである事に気がついた。自宅のNASはディリーでバックアップを取っているが、マルウェアの起動に関係しているアプリはバックアップNASにはインストールしていないので無事かも知れない。症状発覚時に見た時は圧縮ファイルがあったのでバックアップNASもやられたかと思っていたが、圧縮ファイルもバックアップされただけかも…と思って再度確認したら無事にバックアップNASには圧縮前のファイルも残っていたラッキー。

そんなわけでバックアップNASからの復元を試みる。いやディリーバックアップって大事だよね、とは思ったがこの復元が面倒くさい。まずはバックアップ先にある圧縮ファイルを全て削除、しかしありとあらゆるフォルダに圧縮ファイルがあるのでこれを1つ1つ探して回るのがすっごく面倒くさい。ファイルがなく、マルウェアの被害のなかったフォルダにも上記の脅迫状ドキュメントが残っておりまぁ悪さはしないと思うがムカつくのでこれも全て削除。その前にマルウェアの被害にあったNASのバックアップを止めておく、折角圧縮ファイルを削除しているのにディリーバックアップが起動してまた圧縮ファイルがバックアップされてはこれまでの苦労が水の泡。

そんなこんなで4日ほどかけてようやくバックアップNASの圧縮ファイルを脅迫状を全て削除。一応マルウェアは新しいワクチンで駆除されているはずではあるが、念のために元々のNASの中身を全て消して立ち上げ直し。そしてバックアップのファイルを全て元のNASに復元、これまた容量が多いので1週間くらいかかってようやく完了。これで何とか元に戻りようやく今回のマルウェアから無事に帰還できた。

噂によると身代金が比較的少額だったこともあり、お金を払った人も結構いたらしい。いや金額の問題では無く、そんな犯罪者にみずみず身代金を払うのはいかんせん口惜しい。身代金を払うくらいなら思い切ってこれまで貯めたファイルは諦めよう…そんな事を考えたマルウェア騒動でした、いやそれにしてもこんな身代金犯罪が堂々とまかり通っている状況は何とかならんのか。