JackSparrowランサムウェアに関する技術分析と対策提言

調査日: 2025-05-21

本レポートは、JackSparrowランサムウェアとして特定されたインシデントに関する技術的分析結果と、CISOおよびIT管理者向けに推奨される対策をまとめたものです。当該ランサムウェアはファイルの拡張子を変更し、システムの復元機能を無力化する特徴を持っています。

【概要】

JackSparrowランサムウェアは、侵入後、システム内の全ファイルを標的とし、ファイル名を「<ファイル名>.encrypted.<元の拡張子>」の形式に変更します。このランサムウェアはC++で記述されており、暗号化処理の開始前に、OSの回復機能を無効化する手順を組み込んでいる点が特徴です。

【技術分析】

1. 開発環境とファイル情報

このランサムウェアの実行ファイルは、C++ベースでコンパイルされており、特定の環境情報とファイルメタデータを保持しています。

2. 動作特徴と常駐化

JackSparrowランサムウェアは、実行されると以下の手法を用いてシステムへの常駐化を図ります。

  • 実行ファイルのコピー：自身のコピーを%APPDATA%または%TEMP%などのシステム内特定パスに配置します。
  • 永続化設定：Windowsタスクスケジューラ、またはHKCUSoftwareMicrosoftWindowsCurrentVersionRunなどのレジストリキーを利用し、システムログイン時に自動的に実行されるよう設定します。これにより、再起動後も持続的に活動を維持します。

<実行ファイルのコピー生成と、ログイン時の自動実行を設定するスケジューラの作成>

【動作プロセス】

1. システム復旧機能の無力化

暗号化を実行する直前、JackSparrowは被害者によるシステム復元や回復の試みを阻止するため、以下のコマンドを実行します。

  • ボリュームシャドウコピーの削除：vssadmin delete shadows /all /quietコマンドを実行し、ローカルディスクに保存されている過去のシステムスナップショット（VSS）を完全に削除します。これにより、シャドウコピーを用いたファイル復元が不可能になります。
  • Windows回復機能の無効化：bcdedit /set {default} recoveryenabled No および bcdedit /set {default} bootstatuspolicy ignoreallfailuresなどのコマンドを用いて、Windowsの自動回復機能やエラー発生時の報告メカニズムを非アクティブ化します。これは、感染事実の早期発見やOSによる自動的な修復を妨害することを目的としています。
  • 復元サービス操作：一部の変種では、システム復元に関連するサービス（srserviceやwinmgmtなど）を無効化する場合があります。

<シャドウコピーの削除コマンド実行および、Windows復元機能とエラーメッセージ表示機能の無効化>

2. ファイルの暗号化

システム復旧機能を無力化した後、ランサムウェアはターゲットファイルを探索し、暗号化処理を実行します。暗号化が完了したファイルは、拡張子が「.encrypted.<元の拡張子>」に変更されます。

【被害状況とランサムノート】

暗号化が完了すると、ランサムウェアは被害者に対して金銭を要求するためのランサムノートを自動的に表示します。システム内のデータファイルは全てアクセス不能な状態となり、前述の形式でファイル名が変更されます。

<感染後のデスクトップ画面と暗号化されたファイルの表示>

【推奨される対策】

JackSparrowランサムウェアのような侵入型攻撃に対処するため、以下の対策を緊急で実施することを強く推奨します。

1. 侵入経路の特定と脆弱性管理の強化

初期侵入経路（多くは外部に公開されたサービスやフィッシングメール）を特定し、直ちに封鎖する必要があります。特に、リモートアクセスに使用されるVPNゲートウェイやWebアプリケーションなどの外部公開リソースについて、最新のパッチが適用されているかを確認し、設定の不備がないかを再点検してください。

2. 行動検出型アンチランサムウェアの導入

従来のシグネチャベースの対策では対応が困難なため、ランサムウェア特有の悪質な「行動」（大量ファイルアクセス、VSS削除コマンド実行、暗号化後の拡張子変更など）をリアルタイムで検知し、即座にプロセスを遮断できる次世代型のエンドポイントセキュリティ（EDR機能を有する製品）を導入してください。

<悪意あるプロセスの実行を検知し、ファイル暗号化を防止する遮断メッセージ>

3. 即時復元（ロールバック）機能の活用

万が一、暗号化処理が開始された場合でも、そのプロセスを検知した時点で実行ファイルと暗号化され始めたファイルを即座に隔離し、感染前の状態にファイルを瞬時に復元できるアンチランサムウェア技術（ロールバック機能）を導入・活用し、被害範囲を最小限に抑える体制を構築してください。

4. ネットワークセグメンテーションの徹底

重要データや基幹システムを保持するサーバー群と、一般従業員が使用するクライアントネットワークを物理的または論理的に分離（セグメンテーション）し、万一感染が発生した場合のラテラルムーブメント（横展開）を阻止してください。