--- title: ブラック ルビー：ランサムウェアとコインマイナーマルウェアのコンビ description: コインマイナー マルウェアプログラムというニュースが飛び込んできました。インターネット上ではすでにコンピュータへの感染も報告されています。分散型ランサムウェアに 起因するものと同じ技術と悪用を使用して個々のPCや企業を犠牲にするコインマイナー マルウェアが急増しています。サイバー犯罪者のためのペイロードの選択肢として、ランサムウェアからコイン マイナーへシフトするセキュリティー専門家もいます。 興味深いことに、我々が発見したのは、Black Ruby (ブラック ルビー) と呼ばれる新しいランサムウェアで、コイン マイニングをモジュールとして追加したものです。攻撃者は、攻撃方法を最適化して、ターゲットとなる犠牲者からから利益を最大化します。あるタイプの攻撃に焦点を当てるのではなく、ランサムウェアとコイン マイナーとも増えてきているのです。 canonical_url: https://www.acronis.com/ja/blog/posts/buratuku-rubiransamuueatokoinmainamaruueanokonbi/ locale: ja last_updated: 2026-10-27 --- [Acronis ブログ](https://www.acronis.com/ja/blog/) # ブラック ルビー：ランサムウェアとコインマイナーマルウェアのコンビ コインマイナー マルウェアプログラムというニュースが飛び込んできました。インターネット上ではすでにコンピュータへの感染も報告されています。分散型ランサムウェアに 起因するものと同じ技術と悪用を使用して個々のPCや企業を犠牲にするコインマイナー マルウェアが急増しています。サイバー犯罪者のためのペイロードの選択肢として、ランサムウェアからコイン マイナーへシフトするセキュリティー専門家もいます。 興味深いことに、我々が発見したのは、Black Ruby (ブラック ルビー) と呼ばれる新しいランサムウェアで、コイン マイニングをモジュールとして追加したものです。攻撃者は、攻撃方法を最適化して、ターゲットとなる犠牲者からから利益を最大化します。あるタイプの攻撃に焦点を当てるのではなく、ランサムウェアとコイン マイナーとも増えてきているのです。 [![Image 2: Acronis Editorial Team](https://staticfiles.acronis.com/images/content/d85707ae91461544212d39836dc32b42.png)](https://www.acronis.com/ja/blog/authors/acronis/ "Acronis Editorial Team") [Acronis Editorial Team](https://www.acronis.com/ja/blog/authors/acronis/) 17 分で読める内容です Last updated 2025年6月17日(火) コインマイナー マルウェアプログラムというニュースが飛び込んできました。インターネット上ではすでにコンピュータへの感染も報告されています。分散型ランサムウェアに 起因するものと同じ技術と悪用を使用して個々のPCや企業を犠牲にするコインマイナー マルウェアが急増しています。サイバー犯罪者のためのペイロードの選択肢として、ランサムウェアからコイン マイナーへシフトするセキュリティー専門家もいます。 興味深いことに、我々が発見したのは、Black Ruby (ブラック ルビー) と呼ばれる新しいランサムウェアで、コイン マイニングをモジュールとして追加したものです。攻撃者は、攻撃方法を最適化して、ターゲットとなる犠牲者からから利益を最大化します。あるタイプの攻撃に焦点を当てるのではなく、ランサムウェアとコイン マイナーとも増えてきているのです。 ![Image 3: ブラック ルビー：ランサムウェアとコインマイナーマルウェアのコンビ](https://staticfiles.acronis.com/images/content/5fc11eb73e84e7b3bd37c8657a0050d9.png) 技術的な分析 ブラック ルビーは今月初めに発見されました。一番初めに上がってきたVirustotalのレポートによると、PEヘッダーのタイムスタンプに従ってコンパイルさ れた直後の日付は2018-02-04 09:50:37となっています。数日後にいくつかのマイナーな変更を加えたブラック ルビーの新しい亜種も発見されました。 図1：PEヘッダーのタイムスタンプ ランサムウェアは、「Windows Defender.exe」や「WINDOWSUI.EXE」のようなファイル名を使用して、Microsoft Windows Defenderとして自身を識別します。下の画像は、ファイルのバージョン情報の詳細を示しています。 図2：ファイルのバージョンの詳細 マルウェアバイナリ（MD5： 81E9036AED5502446654C8E5A1770935）は、dotnet実行可能ファイルで、Babel Obfuscatorを使用して隠蔽されています。 これは、RSAとAESを使用してユーザーファイルを暗号化します。Moneroマイナーモジュールは、リソースディレクトリ内に暗号化された形式で格納され、実行時に暗号化されてデプロイされま す。 GeoIPと環境チェック まず名前が"The Black Ruby"の相互排除オブジェクト（mutex）を作成し、アプリケーションのインスタンスが1つだけ実行されていることを確認するために名前が既に存在する場合は終了します。次のチェックでマシンの国が決まります。これは “http:// freegeoip.net/json/”に接続することで実施されます。応答にイランの国コードが含まれていると、マルウェアが停止して終了します。 図3：国コードを取得するスニペット インストールと永続性 ブラック ルビーは、以下のレジストリを追加して永続性を維持します。 1. HKEY_CURRENT_USER\SOFTWARE\Microsoft\BlackRuby‘Install’ = ‘Max’ 2. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run‘Windows Defender’ = C:\Windows\system32\BlackRuby\WindowsUI.exe’ キー1が既にマシンに存在する場合、マルウェ アは、インストールキーが存在しないか、または最初の実行中に、以前に展開したコインマイナー実行可能ファイル（次のコードスニペットに示されています） を開始します。CreatePersistence()関数は、上記のレジストリキーを生成します。Key 1が見つからない場合は「false」、そうでない場合は「true」として返されます。 図4：void main（）関数の一部 DeployExecutables（）はシステムディレクトリ( “C:\ Windows \ System32”)に "ブラック ルビー"という名前の新しいディレクトリを作成し、 "WindowsUI.exe"という名前のメイン実行ファイルをコピーし、コイン マイナー実行ファイル（リソースディレクトリから解読） "Svchost.exe"と入力します。 図5：実行ファイルのコピー ブラック ルビーは、悪意のある実行ファイルを正常に展開した後、キーの生成、ユーザーファイルのシャドウコピーの削除、イベントログのクリア、ブート状態ポリシーの変更、およびユーザーのファイルの暗号化を担当するランサムウェアMain（）関数を実行します。 キー生成 ブラック ルビーはAES対称暗号を使用してユーザーファイルを暗号化します。強力な暗号化のためにファイルAESキーとセッションRSAキーを使用する他のランサムウェア系統とは異なり、ブラック ルビーは同じAESキーを使用してシステム上のすべてのファイルを暗号化します。AES暗号化では、次の設定が使用されます。 • キーサイズ 256ビット • ブロックサイズ 128ビット • モード CBCモード • パディング PKCS7 ファイル暗号化AESキーは、各マシンで1回計算されたランダムパスワードと、論理ドライブのマシン名やカウントなどのその他のアーティファクトを次の形式で組み合わせて生成されます。 -: (e.g.: >x6Ru@ufT4@lxsYkgj$X)OzuIVs&MjV&pUkf7rVJ7h8X>BMZuNVrbqurR-DESKTOP_XXXXXXX:2) このAESキーは、base64形式のバイナリでハードコードされたマスターRSAパブリックキーで暗号化されます。暗号化されたAESキーはbase64に変換され、16進表現に変換され、他の身代金と一緒にHOW-TO-DECRYPT-FILES.txtとしてランサムウェアの "ヘルプ"ファイルに書き込まれます。これらのヘルプファイルは、暗号化されたユーザーファイルを含む各ディレクトリに存在します。 図6：デコードされたマスターRSAパブリッ クキー ![Image 4: ブラック ルビー：ランサムウェアとコインマイナーマルウェアのコンビ](https://staticfiles.acronis.com/images/content/25bb2291bde4c3f4dbb83e6ef1692c48.png) ![Image 5: ブラック ルビー：ランサムウェアとコインマイナーマルウェアのコンビ](https://staticfiles.acronis.com/images/content/0b637e20d647a048128014c2167629dd.png) ![Image 6: ブラック ルビー：ランサムウェアとコインマイナーマルウェアのコンビ](https://staticfiles.acronis.com/images/content/e8305b6ebca9734ae0303b6104f67ddd.png) ![Image 7: ブラック ルビー：ランサムウェアとコインマイナーマルウェアのコンビ](https://staticfiles.acronis.com/images/content/5f185457a625b1c55fd6a69abac72b7b.png) ![Image 8: ブラック ルビー：ランサムウェアとコインマイナーマルウェアのコンビ](https://staticfiles.acronis.com/images/content/1cb9cdfd8623a7407083901c92f89888.png) ![Image 9: ブラック ルビー：ランサムウェアとコインマイナーマルウェアのコンビ](https://staticfiles.acronis.com/images/content/98386a152f8527117fd2e39b6bcd4c4a.png) 図7：暗号化された形式のAESキー ファイル暗号化 ブラック ルビー ランサムウェアは、固定、リムーバブル、およびネットワークドライブ上のすべてのファイルを列挙し、バイナリでハードコードされた拡張子のリストに含ま れ、ファイルサイズが512 MB未満のタイプのみを暗号化します。また、255バイトを超える名前のファイルもスキップします。ファイルの拡張子が "bkf "の場合、ファイルは削除されます。 ![Image 10: ブラック ルビー：ランサムウェアとコインマイナーマルウェアのコンビ](https://staticfiles.acronis.com/images/content/035df51f41239f814400b55a7870a889.png) 図8 ：ドライブ列挙ルーチン ブラック ルビーは、AES暗号化ルーチンに渡す前に、メモリ配列内の全ファイルを読み取り、最後に元のファイル名を追加します。暗号化の後、元のファイルコンテンツは暗号化されたコンテンツで上書きされ、ファイルは次の形式のランダムなファイル名で同じディレクトリに移動されます。 Encrypted_ .BlackRuby (e.g. Encrypted_VdGcVZ7RUKFUYvYk6gZCVTNLkNsUin5SuvmfovndF.BlackRuby) 残念ながら、ファイルの属性や暗号化プロセスを変更しているときに例外が発生した場合、そのファイルはマシンから削除されます。 図9：ファイル属性の変更、暗号化および移動操作 図10 ：暗号化後のファイル構造 ブラック ルビーはこれらのフォルダの下にあるファイルは暗号化しません： ![Image 11: ブラック ルビー：ランサムウェアとコインマイナーマルウェアのコンビ](https://staticfiles.acronis.com/images/content/721951803172390b0eea36bd3263f8d2.png) ![Image 12: ブラック ルビー：ランサムウェアとコインマイナーマルウェアのコンビ](https://staticfiles.acronis.com/images/content/133653f78bd3ef70b4988e7648f75fe5.png) ![Image 13: ブラック ルビー：ランサムウェアとコインマイナーマルウェアのコンビ](https://staticfiles.acronis.com/images/content/63ed10807d851b7db35367cf0c2d7281.png) "Windows", "Microsoft.NET", "Program Files", "Internet Explorer", "ProgramData", "McAfee", "PerfLogs", "Avira", "$Recycle.Bin", "spytech software", "Microsoft", "sysconfig", "Microsoft Help", "Avast", "Microsoft App", "Dr.Web", "Certification Kit", "Symantec", "Windows Defender", "Symantec_Client_Security", "ESET", "system volume information", "COMODO", "AVG", "Windows NT", "Microsoft Shared", "Windows Kits", "Common Files", "Windows Mail", "Outlook Express", "Windows Media Player", "Movie Maker", "Windows Multimedia Platform", "Chrome", "Windows Phone Kits", "Mozilla Firefox", "Windows Phone", "Opera", "Silverlight Kits", "YandexBrowser", "Temp", "ntldr", "Windows Photo Viewer", "Wsus", "Windows Protable Devices", "!!AntiCrypto!!", "Windows Slidebar", "Public", "WindowsPowerShell", "BlackRuby" "NVIDIA Corporation", 表1：除外されたフォルダ 図11：拡張のリスト シャドウコピーとカバリングトラックの削除 ブラック ルビーは、Windowsボリュームシャドウコピーサービスによって作成された自動バックアップを削除し、マシンからイベントログを削除するために、次のコマンドを順番に実行します。 図12 ：実行されたコマンドのリスト また、その名前に"sql" を含むプロセスを終了します。この完全なルーチンは、ファイルの暗号化処理の前に実行されます。 ランソムノート 暗号化されたユーザーファイルを含むすべての ディレクトリに、HOW-TO-DECRYPT-FILES.txtという身代金メモが作成されます。 ![Image 14: ブラック ルビー：ランサムウェアとコインマイナーマルウェアのコンビ](https://staticfiles.acronis.com/images/content/9f573858d93f401e80e2e916171ce7ef.png) ![Image 15: ブラック ルビー：ランサムウェアとコインマイナーマルウェアのコンビ](https://staticfiles.acronis.com/images/content/0c0838cdc2572eede9965819fbfd54df.png) 図13：Ransom Noteパート1 ![Image 16: ブラック ルビー：ランサムウェアとコインマイナーマルウェアのコンビ](https://staticfiles.acronis.com/images/content/03eeee895f65cf35619221e16446796b.png) 図14：Ransomノートパート2 復号化 このランサムウェアにはまだ無料の解読ツールはありません。ファイルを元に戻す唯一の方法は、身代金メモに記載されている指示に従い、攻撃者にビットコインで650ドル相当の金額を支払うことです。 しかし、攻撃者に支払うことは勧められません。 攻撃者は5MB未満の2つのファイルの無料解読を提供します。この解読は、身代金メモに記載されている識別キーと共に電子メールアドレスに送信できます。 図15：身代金メモの復号化命令 コインマイナー 最後に、ブラック ルビーはExecuteMiner()を呼び出して、以前に注入したMoneroマイナー（Svchost.exe）を起動します。Moneroのマイ ナー実行ファイルは、GitHub上で公開されているXMRig CPUマイナーであることが判明しました。 図16：Svchost.exeファイルの バージョンの詳細 図17：Monero minerを実行する機能 場所： URL = "de01.supportxmr.com" port = "3333" UserName = "43DmqxU4LzuTrmA8GLZ7S5J6w32bwCavX9bhvCiSEwwebfn4TCYRAxmPtWTZq9iQ1F6XYsktJEYBYDkhKu4KXw6rCCspxCJ" これは、プールマイニングにStratumマイニングプロトコルを使用します。ユーザー名は攻撃者のウォレットアドレス、システムのユーザー名はワーカーまたはマイニングID、マシン名はパスワードです。 図18 ：Monero財布の情報 結論 ブラック ルビーは事実上の国際標準を暗号化に使用しています。ユーザーが適切なバックアップを取らない限り、暗号化されたファイルを回復する方法はありません。 [Acronis True Image 2018](https://www.acronis.com/ja-jp/personal/computer-backup/) および [Acronis Active Protection](https://www.acronis.com/ja-jp/ransomware-protection/) を有効にしたその他の製品は、ブラック ルビーやその他のランサムウェアによる貴重なデータの暗号化や、攻撃者の資金調達の防止、暗号化されたファイルの復元を確実にします。 ![Image 17: ブラック ルビー：ランサムウェアとコインマイナーマルウェアのコンビ](https://staticfiles.acronis.com/images/content/585a46c083720f1854442b46bbbf9b92.png) ![Image 18: ブラック ルビー：ランサムウェアとコインマイナーマルウェアのコンビ](https://staticfiles.acronis.com/images/content/4b217a7df0eec9b655d3885b56809205.png) ![Image 19: ブラック ルビー：ランサムウェアとコインマイナーマルウェアのコンビ](https://staticfiles.acronis.com/images/content/742d8aecd9cb66de1f71e2f316c31a10.png) ![Image 20: ブラック ルビー：ランサムウェアとコインマイナーマルウェアのコンビ](https://staticfiles.acronis.com/images/content/d657b99208800cdb123ae2ae6fe37145.png) ![Image 21: ブラック ルビー：ランサムウェアとコインマイナーマルウェアのコンビ](https://staticfiles.acronis.com/images/content/0322cca97673480c9d44653bea53b2bf.png) ![Image 22: ブラック ルビー：ランサムウェアとコインマイナーマルウェアのコンビ](https://staticfiles.acronis.com/images/content/30e805ca8c3376dc7190984f9846de52.png) ![Image 23: ブラック ルビー：ランサムウェアとコインマイナーマルウェアのコンビ](https://staticfiles.acronis.com/images/content/c16cacadbbd8fa2883c6e0b6f7153968.png) [サイバーセキュリティ](https://www.acronis.com/ja/blog/tags/cybersecurity/) [サイバープロテクション](https://www.acronis.com/ja/blog/tags/cyber-protection/) ## Written by ![Image 24: Acronis Editorial Team](https://staticfiles.acronis.com/images/content/d85707ae91461544212d39836dc32b42.png) Acronis Editorial Team [前の記事](https://www.acronis.com/ja/blog/posts/world-backup-dayakuronisusosiyarumedeiakiyanpenakuronisu-orizinaru-fang-zai-gutuzu/) [World Backup Dayアクロニスソーシャルメディアキャンペーン、アクロニス オリジナル 防災グッズ プレゼントキャンペーン](https://www.acronis.com/ja/blog/posts/world-backup-dayakuronisusosiyarumedeiakiyanpenakuronisu-orizinaru-fang-zai-gutuzu/) [次の記事](https://www.acronis.com/ja/blog/posts/ibentorepoto-huairunofei-gai-zanxing-gaque-ren-dekirugong-zheng-ji-neng-acronis-notary/) [【イベントレポート】 ファイルの非改ざん性が確認できる公証機能 Acronis Notary](https://www.acronis.com/ja/blog/posts/ibentorepoto-huairunofei-gai-zanxing-gaque-ren-dekirugong-zheng-ji-neng-acronis-notary/) Acronis について 2003年にシンガポールで設立されたスイス企業であるアクロニスは、世界15か所にオフィスを置き、60か国以上に従業員を擁しています。Acronis Cyber Platformは150か国に26言語で提供され、21,000社を超えるサービスプロバイダーに採用され、75万社以上の企業を保護しています。 [Add as a preferred source on Google](https://google.com/preferences/source?q=acronis.com) ## Related stories Want to learn more? Read the latest stories featuring this solution on our blog. [Acronis ブログ](https://www.acronis.com/ja/blog/) ![Image 25: アクロニス、MDRを拡充し ワークスペースの保護を拡大](https://staticfiles.acronis.com/images/blog-card/e281cc03e2f1c206b3a0980077147e72.png) [アクロニス、MDRを拡充し ワークスペースの保護を拡大](https://www.acronis.com/ja/blog/posts/acronis-expands-mdr-toward-broader-workspace-protection/) サイバー攻撃は業務時間に関係なく発生します。夜間や週末、休暇中も例外ではありません。Acronis MDR by Acronis TRU（アクロニス自社が提供するMDRサービス）は、パートナーが自社でセキュリティオペレーションセンター（SOC）を構築することなく、エキスパートによる24時間365日の監視、調査、対応を可能にします。 アクロニスは、こうした専門知識の提供をより容易にし、パートナーがより多くのリスクに対処できるよう、MDRサービスの機能を拡充しています。これらの取り組みは、アクロニスによるマネージドセキュリティへの幅広いコミットメントに基づくものです。相互につながるワークスペースをMSP（ITサービス事業者）が保護できるように支援すると同時に、その顧客が脅威の調査、効果的な対応、事業継続に必要なエキスパートの支援を受けられることを目的としています。 **2026年10月14日(水)**8 分で読める内容です ![Image 26: OT ダウンタイムのコストは？潜在的な損失を算出](https://staticfiles.acronis.com/images/blog-card/7095be980c896c01b957951b13031803.png) [OT ダウンタイムのコストは？潜在的な損失を算出](https://www.acronis.com/ja/blog/posts/how-much-does-ot-downtime-cost-calculate-your-potential-losses/) 製造業は運用のモダナイズを進める中で、厳しい現実に直面しています。サイバーセキュリティ関連のインシデントが、いまや機械的な故障よりも多くのダウンタイムを引き起こしているのです。アクロニスのエキスパートが開発した新しい ICS/OT ダウンタイムカリキュレーターは、製造による収益、人件費、諸経費、そして貴社固有の環境要素を基に、ダウンタイムが事業に与える実際のコストを算出するための基準値を提示します。これは、リスク低減に向けた実践的な議論をするための出発点となるものです。 **2026年9月14日(月)**6 分で読める内容です ![Image 27: エアギャップネットワークの保護とOTセキュリティ](https://staticfiles.acronis.com/images/blog-card/22db728b1f126e454e37f4b99645f3c3.png) [エアギャップネットワークの保護とOTセキュリティ](https://www.acronis.com/ja/blog/posts/air-gap-ot-network-protection/) 隔離されたOT環境をUSBマルウェアやランサムウェアから守る方法を解説。オフライン保護、リムーバブルメディア管理、バックアップと迅速な復旧の要点を紹介します。 **2026年8月14日(金)**7 分で読める内容です