--- title: DeriaLockがSkypeによる身代金の支払いを要求 description: "BleepingComputersより先ごろ、ランサムウェア「DeriaLock」のクリスマスバージョンが発見されたとのレポートが発表され、その 少し後には、G-DataのKarsten Hahn氏によってそのアップデートバージョンが発見されました。 アクロニスのアナリストはこの最新のDeriaLock（MD5:0a7b70efba0aa93d4bc0857b87ac2fcb）を詳細に分析しま した。" canonical_url: https://www.acronis.com/ja/blog/posts/derialockgaskypeniyorushen-dai-jin-nozhi-fu-iwoyao-qiu/ locale: ja last_updated: 2026-10-27 --- [Acronis ブログ](https://www.acronis.com/ja/blog/) # DeriaLockがSkypeによる身代金の支払いを要求 BleepingComputersより先ごろ、ランサムウェア「DeriaLock」のクリスマスバージョンが発見されたとのレポートが発表され、その 少し後には、G-DataのKarsten Hahn氏によってそのアップデートバージョンが発見されました。 アクロニスのアナリストはこの最新のDeriaLock（MD5:0a7b70efba0aa93d4bc0857b87ac2fcb）を詳細に分析しま した。 [![Image 2: Acronis Editorial Team](https://staticfiles.acronis.com/images/content/d85707ae91461544212d39836dc32b42.png)](https://www.acronis.com/ja/blog/authors/acronis/ "Acronis Editorial Team") [Acronis Editorial Team](https://www.acronis.com/ja/blog/authors/acronis/) 11 分で読める内容です Last updated 2017年2月23日(木) BleepingComputersより先ごろ、ランサムウェア「DeriaLock」のクリスマスバージョンが発見されたとのレポートが発表され、その 少し後には、G-DataのKarsten Hahn氏によってそのアップデートバージョンが発見されました。 アクロニスのアナリストはこの最新のDeriaLock（MD5:0a7b70efba0aa93d4bc0857b87ac2fcb）を詳細に分析しま した。 このランサムウェアは、コンピュータをロックするだけでなく、そのファイルを暗号化し、被害ユーザーがコンピュータの再起動によるロック解除を試みるとそ れらのファイルを削除するというものです。 DeriaLockは、「Screenlocker」、「CryptoLocker」、そしてファイルイレイサーという3つの機能で構成されています。 Screenlockerの機能については、すでにBleepingComputerにて検討されているため、本ブログではCryptoLockerと ファイルイレイサーについて考察いたします。 CryptoLockerは、ユーザーのファイルを暗号化し、そのファイル名に「.deria」という拡張子を付与するものです。ファイルイレイサーは、 コンピュータを再起動しようとしたユーザーへの処罰としてそのユーザーのファイルを削除するものです。DeriaLockはVisual Basicで記述された.NETアプリケーションであるため、特定しにくい状態にあります。またこれは重要なことですが、VB.NETの cryptoLockerの数がここ数カ月で増加しています。これはおそらく、このランサムウェアのソースコードが教育目的で公に利用可能になったことが 原因であると考えられます。 DeriaLockでは、最初に管理者権限と.NET Framework 4.5を必要とします。そのためユーザーは、UAC（ユーザーアカウント制御）が有効な場合、この権限の付与を承認するようプロンプトで指示されます。 暗号化の仕組み DeriaLockでは、AES-256対象鍵暗号化アルゴリズムを使って以下のフォルダのファイルを暗号化します。 • デスクトップ • ダウンロード • マイドキュメント • マイミュージック • マイピクチャ • D:\ CryptoLockerには、AES 256ビット暗号鍵と16ビットの初期化ベクトルの計算に使用されるハードコードされたパスワードが含まれているため、身代金を支払うことなくファイルを 復号することが可能です。 DeriaLockでは、暗号鍵と初期化ベクトルを作成するために、パスワードストリング （b3f6c3r6vctb9c3n789um83zn8c3tb7c3brc3b5c77327tbrv6b123rv6c3rb6c7tc3n7tb6tb6c3t6b35nt723472357t1423tb231br6c3v4） をそのストリングの文字用のASCIIコードを使ってバイト配列に変換し、 SHA512ハッシュを計算しています。ハッシュの最初の32バイトが暗号鍵で、次の16バイトが初期化ベクトルです。 暗号化が完了すると、標的ユーザーの画面には以下のメッセージが表示されます。 続いて、暗号化されたファイルを復元し、システムのロックを解除する方法についてのメッセージが表示されます。さらに、感染したコンピュータを再起動して ランサムウェアを削除しようとすると、すべてのファイルが削除される可能性があるという警告文も表示されます。 支払い 他のランサムウェアとは異なり、DeriaLockでは、Skypeユーザーの「ARIZONACODE」を受取人とする30米ドル/ユーロの身代金を要 求します。こうした支払い方法を採用したランサムウェアはおそらくこれが初めてでしょう。 C&C（コマンド&コントロール）との通信 DeriaLockが実行されると、ファイルイレイサーのモジュール（MD5:2a95426852af058414bbc9ca236208dd）がリ モートサーバーよりダウンロードされます。 このランサムウェアは以下のファイルの内容を毎秒チェックします。 ![Image 3: DeriaLockがSkypeによる身代金の支払いを要求](https://staticfiles.acronis.com/images/content/15b7668257cfe99c28885fe90f17f64c.png) ![Image 4: DeriaLockがSkypeによる身代金の支払いを要求](https://staticfiles.acronis.com/images/content/7e012bcb9ecc609609b64bf09482c491.png) ![Image 5: DeriaLockがSkypeによる身代金の支払いを要求](https://staticfiles.acronis.com/images/content/db49a7966f2996b66686f19297423881.png) http://arizonacode.bplaced.net/HF/SystemLocker/unlock-everybody.txt もしここに「1」があれば、DeriaLockはシステムのロックを解除します。つまり、‘C:\Users\ \AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\LOGON.exe’を削除して、‘Explorer.exe’を実行し、退出するということです。 ユーザーがフォームに解除鍵をあてがうと、DeriaLockはリモートサーバーに接続し、そのユーザーのIDを含むファイル名を持つ適切なテキストファ イルがそのサーバーにあるかどうかを確認します。 例: http://arizonacode.bplaced.net/HF/SystemLocker/UNLOCKKEYS/f5515aff329218c79cac09122bd970f2.txt 確認できれば、そのファイルの鍵を読み込み、ユーザーがフォームに入力した鍵と一致するかどうかを確認します。一致すれば、コンピュータのロックは解除さ れ、ファイルが復号されます。 （上述のURLはすべて、本ブログの作成時点で有効です） ファイルイレイサーのモジュール ユーザーがシステムの再起動を試みると、システムの起動と同時に、ダウンロードされたファイルイレイサーのモジュール（C:\Users\& lt;user>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\LOGON.exe））が実行されます。またこの実行は管理者権限を必要とします。 自己防衛 DeriaLockでは、自己防衛のために以下のプロセスを終了させます。 ![Image 6: DeriaLockがSkypeによる身代金の支払いを要求](https://staticfiles.acronis.com/images/content/a11f04eeb02e682e803835f1d39ca233.png) ![Image 7: DeriaLockがSkypeによる身代金の支払いを要求](https://staticfiles.acronis.com/images/content/33ba0fdfb7ff9f05030d4b39b7074efd.png) • utilman • procexp • procexp64 • procexp32 • certmgr • control • cscript システムが再起動されると、ファイルを削除するためにダウンロードされたモジュールによって、以下のプロセスも終了されます。 • taskmgr • regedit • msconfig • cmd • explorer 例えば「Alt+F4」などのショートカットキーで、ユーザーがランサムウェアのプロセスを阻止しようとすると、DeriaLockはその試みをブロック し、以下のような不敵なメッセージを表示します。 特性 DeriaLockは、複数の開発者によるプロジェクトで作成されているようです。このバージョンには、以下の通り、ホワイトリストに登録されたマシンの 数がクリスマスバージョンよりも一つ多くなっているからです。 ロック解除と復号の方法 上述の通り、このマルウェアは最新のバージョンであってもまだ相当に素人的な部分があるため、身代金を支払わずにファイルを復元することは可能です。しか し、それにはある程度の知識が必要であることをここに強調しておきます。従って以下のステップはご自身のリスク裁量にて実施するようにしてください。この ステップを実行することによって、データが完全に失われることも考えられます。 システムのロック解除は、以下の手順のいずれかを実行することによって可能です。 Windowsで「セーフモード」を使用できる場合。 ![Image 8: DeriaLockがSkypeによる身代金の支払いを要求](https://staticfiles.acronis.com/images/content/007870291ab49e47a1135a975ad5906c.png) ![Image 9: DeriaLockがSkypeによる身代金の支払いを要求](https://staticfiles.acronis.com/images/content/937aa34ebfa41abef2fa797b49c2fe6c.png) 1. コンピュータを強制シャットダウンします。 2. Windowsをセーフモードで起動します。 3. 以下のファイルを削除します。 C:\Users\\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\LOGON.exe 「セーフモード」を使用できない場合。 1. コンピュータを強制シャットダウンします。 2. BIOS画面を開きます。 3. 使用したいレスキューディスクのある、起動可能な適切なデバイスを設定します。 4. そのレスキューディスクからコンピュータを起動します。 5. 以下のファイルを削除します。 C:\Users\\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\LOGON.exe より安全に作業を実施するには、感染したマシンからC&Cサーバーへの要求を遮断できるよう、プロキシwebサーバーを設定します。 1. 「arizonacode.bplaced.net」がすべてのトラフィックをローカルのプロキシwebサーバーにリダイレクトする よう、ローカルのDNSサーバーにDNSレコードを設定します。 2. webサーバーのルートフォルダに「1」が入っている状態で、以下のファイルを作成します。 /HF/SystemLocker/unlock-everybody.txt ファイルを復号するには、以下を実行します。 1. 既定のパスワードストリングと上述の使用済みアルゴリズムを使って、暗号鍵と初期化ベクトルを計算します。 2. 拡張子に「.deria」を持つすべてのファイルを網羅するようスクリプトを記述し、それらを復号します。 または 1. 「arizonacode.bplaced.net」がすべてのトラフィックをプロキシwebサーバーにリダイレクトするよう、ロー カルのDNSサーバーにDNSレコードを設定します。 2. webサーバーのルートフォルダに任意の鍵が入っている状態で、以下のファイルを作成します。 /HF/SystemLocker/UNLOCKKEYS/.txt 1. フォームに同じ鍵を入力し、送信をクリックします。 Acronis Active Protection™なら安全です。 Acronis Active Protectionはランサムウェア「DeriaLock」を検出し、システムを保護します。[**Acronis True Image 2017 New Generation**](http://www.acronis.com/ja-jp/personal/computer-backup/)に導入されたこの画期的なテクノロジは行動ヒューリスティックをベースとし、DeriaLockによる悪 意ある動作を検出し、これを阻止します。また感染したあらゆるファイルを自動的に復元できます。 **Acronis Active Protection**に関する詳細は、[こちら](http://www.acronis.com/ja-jp/personal/ransomware-protection/)をご覧ください。 Acronis True Image 2017 New Generationに関する詳細は、[こちら](http://www.acronis.com/ja-jp/personal/computer-backup/)をご覧ください。 [サイバーセキュリティ](https://www.acronis.com/ja/blog/tags/cybersecurity/) [サイバープロテクション](https://www.acronis.com/ja/blog/tags/cyber-protection/) ## Written by ![Image 10: Acronis Editorial Team](https://staticfiles.acronis.com/images/content/d85707ae91461544212d39836dc32b42.png) Acronis Editorial Team [前の記事](https://www.acronis.com/ja/blog/posts/akuronisuniyoruxiao-fei-zhe-anketodiao-cha-nitexiao-guo-de-nadui-ransamuueafang-yu-nobi-yao/) [アクロニスによる消費者アンケート調査にて、効果的な対ランサムウェア防御の必要性が浮き彫りに](https://www.acronis.com/ja/blog/posts/akuronisuniyoruxiao-fei-zhe-anketodiao-cha-nitexiao-guo-de-nadui-ransamuueafang-yu-nobi-yao/) [次の記事](https://www.acronis.com/ja/blog/posts/toro-rosso-f1-2017fa-jin-xin-str12kazhuang-guan-nazi-woopi-lu-mu/) [Toro Rosso F1 2017発進：新STR12カー壮観な姿をお披露目](https://www.acronis.com/ja/blog/posts/toro-rosso-f1-2017fa-jin-xin-str12kazhuang-guan-nazi-woopi-lu-mu/) Acronis について 2003年にシンガポールで設立されたスイス企業であるアクロニスは、世界15か所にオフィスを置き、60か国以上に従業員を擁しています。Acronis Cyber Platformは150か国に26言語で提供され、21,000社を超えるサービスプロバイダーに採用され、75万社以上の企業を保護しています。 [Add as a preferred source on Google](https://google.com/preferences/source?q=acronis.com) ## Related stories Want to learn more? Read the latest stories featuring this solution on our blog. [Acronis ブログ](https://www.acronis.com/ja/blog/) ![Image 11: アクロニス、MDRを拡充し ワークスペースの保護を拡大](https://staticfiles.acronis.com/images/blog-card/e281cc03e2f1c206b3a0980077147e72.png) [アクロニス、MDRを拡充し ワークスペースの保護を拡大](https://www.acronis.com/ja/blog/posts/acronis-expands-mdr-toward-broader-workspace-protection/) サイバー攻撃は業務時間に関係なく発生します。夜間や週末、休暇中も例外ではありません。Acronis MDR by Acronis TRU（アクロニス自社が提供するMDRサービス）は、パートナーが自社でセキュリティオペレーションセンター（SOC）を構築することなく、エキスパートによる24時間365日の監視、調査、対応を可能にします。 アクロニスは、こうした専門知識の提供をより容易にし、パートナーがより多くのリスクに対処できるよう、MDRサービスの機能を拡充しています。これらの取り組みは、アクロニスによるマネージドセキュリティへの幅広いコミットメントに基づくものです。相互につながるワークスペースをMSP（ITサービス事業者）が保護できるように支援すると同時に、その顧客が脅威の調査、効果的な対応、事業継続に必要なエキスパートの支援を受けられることを目的としています。 **2026年10月14日(水)**8 分で読める内容です ![Image 12: OT ダウンタイムのコストは？潜在的な損失を算出](https://staticfiles.acronis.com/images/blog-card/7095be980c896c01b957951b13031803.png) [OT ダウンタイムのコストは？潜在的な損失を算出](https://www.acronis.com/ja/blog/posts/how-much-does-ot-downtime-cost-calculate-your-potential-losses/) 製造業は運用のモダナイズを進める中で、厳しい現実に直面しています。サイバーセキュリティ関連のインシデントが、いまや機械的な故障よりも多くのダウンタイムを引き起こしているのです。アクロニスのエキスパートが開発した新しい ICS/OT ダウンタイムカリキュレーターは、製造による収益、人件費、諸経費、そして貴社固有の環境要素を基に、ダウンタイムが事業に与える実際のコストを算出するための基準値を提示します。これは、リスク低減に向けた実践的な議論をするための出発点となるものです。 **2026年9月14日(月)**6 分で読める内容です ![Image 13: エアギャップネットワークの保護とOTセキュリティ](https://staticfiles.acronis.com/images/blog-card/22db728b1f126e454e37f4b99645f3c3.png) [エアギャップネットワークの保護とOTセキュリティ](https://www.acronis.com/ja/blog/posts/air-gap-ot-network-protection/) 隔離されたOT環境をUSBマルウェアやランサムウェアから守る方法を解説。オフライン保護、リムーバブルメディア管理、バックアップと迅速な復旧の要点を紹介します。 **2026年8月14日(金)**7 分で読める内容です