ランサムウェア感染の判断材料：確実な特定のための技術的指標

即座に確認すべき明確な兆候


ファイル暗号化の痕跡

find /home -name "*.encrypted" -o -name "*.locked" -o -name "*.crypto" 2>/dev/null | head -20

find /home -type f -mtime -1 -exec file {} \; | grep -v "ASCII\|UTF-8\|executable" | head -10

典型的な暗号化ファイル拡張子：

• .locked, .encrypted, .crypto
• .wannacry, .locky, .cerber
• ランダム文字列（.abc123, .xyz789）

身代金要求メッセージの存在

find / -name "*README*" -o -name "*DECRYPT*" -o -name "*RANSOM*" 2>/dev/null

find / -name "*.txt" -exec grep -l "bitcoin\|cryptocurrency\|ransom" {} \; 2>/dev/null

典型的なファイル名：

• README_FOR_DECRYPT.txt
• HOW_TO_DECRYPT_FILES.html
• RANSOM_NOTE.txt

システムレベルでの異常検知


プロセス監視による検出

ps aux --sort=-%cpu | head -10

lsof | awk '{print $2}' | sort | uniq -c | sort -nr | head -10

ps aux | grep -E "(crypt|encrypt|ransom)" | grep -v grep

ネットワーク通信の異常

netstat -tuln | grep ESTABLISHED

ss -tuln | grep :443 | wc -l

netstat -an | grep -E "(9050|9051|9150)"

ファイルシステムの変化パターン


大量ファイル変更の検出

find /home -type f -mmin -60 | wc -l

find /home -type f -mmin -60 -exec ls -la {} \; | sort -k6,7

find /home -type f -mmin -60 -printf "%TY-%Tm-%Td %TH:%TM %p\n" | sort

ファイル内容の変化確認

file /home/user/Documents/*.docx | grep -v "Microsoft Word"

for f in /home/user/Documents/*; do
    echo "$f: $(xxd "$f" | head -5)"
done

レジストリ・設定ファイルの改変


Windowsレジストリの確認

reg query HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

reg query HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

reg query HKLM\SOFTWARE /s | findstr /i "ransom\|crypt\|lock"

Linuxシステム設定の確認

crontab -l | grep -v "^#"

cat /etc/crontab | grep -v "^#"

systemctl list-units --type=service --state=running | grep -v "loaded active running"

ログファイルでの痕跡確認


システムログの異常パターン

journalctl --since "1 hour ago" | grep -E "(open|write|rename)" | wc -l

journalctl --since "1 hour ago" | grep -E "Started|Stopped" | tail -20

grep -i "ransom\|encrypt\|crypto" /var/log/syslog /var/log/messages 2>/dev/null

Webサーバーログの確認

tail -1000 /var/log/apache2/access.log | awk '{print $1}' | sort | uniq -c | sort -nr

grep -E "\.php\?|\.asp\?|cmd=" /var/log/apache2/access.log | tail -20

メモリ・プロセス解析


メモリダンプでの確認

for pid in $(ps aux | grep -v grep | awk '{print $2}'); do
    strings /proc/$pid/mem 2>/dev/null | grep -i "ransom\|decrypt\|bitcoin" && echo "PID: $pid"
done

ls -la /proc/*/exe | grep -v "permission denied"

ネットワーク通信の解析


外部通信先の確認

tail -100 /var/log/syslog | grep dnsmasq | grep -E "\.onion|\.bit"

netstat -an | grep ESTABLISHED | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -nr

判断基準のチェックリスト


確実にランサムウェアと判断できる条件

• [ ] 大量ファイルが同時刻に暗号化
• [ ] 身代金要求メッセージの存在
• [ ] ファイル拡張子の一括変更
• [ ] 暗号化プロセスの実行痕跡

疑いが強い条件

• [ ] 異常なCPU使用率の継続
• [ ] 大量の外部通信
• [ ] システムファイルの改変
• [ ] バックアップファイルの削除痕跡

追加調査が必要な条件

• [ ] 一部ファイルのみ暗号化
• [ ] 明確な身代金メッセージなし
• [ ] 他のマルウェア感染の可能性

緊急対応の判断タイミング


即座に隔離すべき状況：
1. 身代金メッセージ確認時点
2. 大量ファイル暗号化進行中
3. 暗号化プロセス実行中

調査継続可能な状況：
1. 暗号化停止済み
2. 感染範囲限定的
3. バックアップ確保済み

この判断材料により、ランサムウェア感染の確実な特定と適切な初動対応が可能になります。