--- title: ロッキーによる攻撃 description: Lockyは、最も広く拡散しそして活発に活動している悪意のあるランサムウェアのうちの1つです。これは数日前に登場した最新の脅威です。Microsoft’s Dynamic Data Exchange (DDE)を利用しているMicrosoft Wordマクロを含むスパムメールによって、Necursボットネットから配信されています。DDEは共有メモリとデータを使用してMS Officeファイルの電子転送を処理するWindowsの機能です。 今回は、この新しいLockyについてご紹介します。 canonical_url: https://www.acronis.com/ja/blog/posts/rotukiniyorugong-ji/ locale: ja last_updated: 2026-10-27 --- [Acronis ブログ](https://www.acronis.com/ja/blog/) # ロッキーによる攻撃 Lockyは、最も広く拡散しそして活発に活動している悪意のあるランサムウェアのうちの1つです。これは数日前に登場した最新の脅威です。Microsoft’s Dynamic Data Exchange (DDE)を利用しているMicrosoft Wordマクロを含むスパムメールによって、Necursボットネットから配信されています。DDEは共有メモリとデータを使用してMS Officeファイルの電子転送を処理するWindowsの機能です。 今回は、この新しいLockyについてご紹介します。 [![Image 2: Acronis Editorial Team](https://staticfiles.acronis.com/images/content/d85707ae91461544212d39836dc32b42.png)](https://www.acronis.com/ja/blog/authors/acronis/ "Acronis Editorial Team") [Acronis Editorial Team](https://www.acronis.com/ja/blog/authors/acronis/) 22 分で読める内容です Last updated 2025年6月6日(金) Lockyは、最も広く拡散しそして活発に活動している悪意のあるランサムウェアのうちの1つです。これは数日前に登場した最新の脅威です。Microsoft’s Dynamic Data Exchange (DDE)を利用しているMicrosoft Wordマクロを含むスパムメールによって、Necursボットネットから配信されています。DDEは共有メモリとデータを使用してMS Officeファイルの電子転送を処理するWindowsの機能です。 Lockyランサムウェアの新しいバージョン （MD5：1676f1817d6ed6d76fbde105f88e615a）は、 11月8日にコンパイルされ、次のソースからダウンロードできます。 hxxp://gulercin.com/HJGdyt73 hxxp://euriskosrl.it/HJGdyt73 hxxp://fgmindia.com/HJGdyt73 インストール Lockyは、Microsoft Word文書に埋め込まれたスクリプトによってダウンロードされます。"％Temp％"フォルダに"svchost.exe"としてコピーします。 ![Image 3: ロッキーによる攻撃](https://staticfiles.acronis.com/images/content/b5c514c9d265564336854c35db3fa01d.png) 次に、 "％Temp％\svchost.exe"をメモリにマップし、"svchost.exe"として再起動します。 次に、元の Lockyファイルは、次のコマンドを使用して削除されます。 ![Image 4: ロッキーによる攻撃](https://staticfiles.acronis.com/images/content/a12565363d3220004ce23bcc8c499bfa.png) ![Image 5: ロッキーによる攻撃](https://staticfiles.acronis.com/images/content/c45836b61e639834474773db6a5b055e.png) Cmd.exe / C del / Q / F “%TEMP%\ .tmp 難読化 コードは非常に難読化されています。Lockyは偽のインポートアドレステーブルを持っています： ![Image 6: ロッキーによる攻撃](https://staticfiles.acronis.com/images/content/5f4fa90c86ff9b38bf08e4b56f10926a.png) Cerberと同様に、コードは多数のJMP命令から始まります。 ![Image 7: ロッキーによる攻撃](https://staticfiles.acronis.com/images/content/accf1052617b3361d8a292ad4b265b1c.png) 次に、ジャンクコードがあります： ![Image 8: ロッキーによる攻撃](https://staticfiles.acronis.com/images/content/f9f0c257fe100c7fa4273cd78c518aa1.png) API関数は、内部アドレステーブルとジャンク "nop"および "jmp"命令と混在したコードを使用して間接的に呼び出されます。 ![Image 9: ロッキーによる攻撃](https://staticfiles.acronis.com/images/content/a2adfcf59d102b33217b9c4956c29f7e.png) 暗号化 Lockyは、ローカルおよびマップされたすべてのネットワークドライブ上のファイルを暗号化します。 最初に、ランサムウェアは次の拡張子を持つファイルのリストを作成します。 ms11 (Security copy), db_journal, plus_muhd, moneywell, pspimage, SQLITEDB, sqlitedb, backupdb, mapimail, sas7bdat, tar.bz2, SQLITE3, sqlite3, onetoc2, contact, litesql, litemod, config, design, ycbcra, backup, wallet, wallet, sqlite, groups, d3dbsp, laccdb, incpas, erbsql, psafe3, asset, class, ibank, asset, accdt, qcow2, accdr, pages, accde, accdb, qcow2, forge, nvram, blend, class, dotm, xlsm, docm, mpeg, save, potx, html, jpeg, 7zip, pptm, pptm, dotx, docx, flvv, vmdk, xltx, jpeg, sldx, java, ppsm, ms11, java, sldx, qcow, ppsx, m2ts, docb, aiff, potm, indd, pptm, xltm, xltm, xlam, xlsm, sldm, dotm, ppsx, vmxf, ppam, vmsd, potm, vmdk, flac, vhdx, docm, vbox, xlsb, s3db, safe, pptx, aspx, kpdx, xlsx, kdbx, ppsm, grey, mpeg, gray, djvu, djvu, tiff, ddrw, lay6, ddoc, sldm, craw, ppsm, cdrw, ppam, cdr6, potx, cdr5, pptx, cdr4, xltx, cdr3, xlsx, bank, xlsb, back, dotx, agdl, docx:wallet:dat, stc, wab, hwp, raw, max, wmv, CSV, 008, y, XLS, n64, ott, apk, p12, pas, sxc, std, st6, pdf, say, mkv, qbb, sav, pfx, tgz, pat, jar, oil, frm, key, pst, nsg, wb2, nsd, pst, iif, jpg, fff, mid, dtd, avi, dcr, mp3, dac, iwi, cr2, PAQ, cdx, svg, bkp, NEF, act, dch, xlt, mdf, xlm, sql, wps, 004, svg, sxm, r3d, sti, pcd, slk, max, rtf, fxg, ppt, eps, oab, drw, doc, db3, m4u, cpi, flv, cdr, mp4, aac, vob, wmv, swf, wav, vmx, thm, ltx, srt, bsa, sav, aes, psd, bak, odt, zip, mpg, png, mp3, jpg, mlb, cmd, mdf, brd, m3u, vbs, ldf, php, key, MYI, flv, dbf, dxf, 010, dds, 006, css, 002, cer, lay, avi, odg, asp, pot, aoi, otp, 3g2, wks, 1cd, xlc, xlt, xml, ots, yuv, DOT, xis, xml, x3f, RTF, x11, stw, wpd, DOC, wb2, crt, tex, stc, sxm, st4, sxi, qbm, sxg, ptx, sxd, pef, stx, pas, stw, odp, sti, nsh, std, nsf, st8, mos, st5, fpx, srw, fdb, srf, ddd, sr2, dbf, sdf, crt, sda, cgm, sd0, cdf, rwz, adp, rwl, xlw, rdb, xlr, raw, xla, rat, tga, raf, rw2, qby, pct, qbx, mdb, qbw, m4v, qbr, fla, qba, dxb, pot, dot, plc, cpp, pem, cls, pdd, arw, p7c, 3dm, p7b, wma, p12, vob, ott, swf, ots, sql, otp, pwm, oth, php, mp4, odm, mov, , 2, bak, nrw, asx, nop, asf, nk2, 3gp, nef, 3ds, ndd, zip, myd, xls, mrw, txt, mny, rar, mmw, prf, mfw, pps, mef, ods, mdc, msg, lua, jnt, kdc, dbx, kc2, m4a, jpe, m3u, iiq, wma, ibz, 3g2, ibd, 3gp, hbk, mov, gry, asf, fhd, mpg, ffd, fla, exf, wav, erf, vdi, eml, upk, dxg, re4, drf, lbf, dng, das, dgc, bik, des, gpg, der, ARC, dcs, tbk, dc2, tar, csl, rar, csh, djv, crw, bmp, cib, gif, ce2, cgm, ce1, tif, bpw, psd, bik, bat, bgt, asp, bdb, sch, bay, dip, awg, asm, cpp, apj, ldf, ait, ibd, ads, MYD, adb, odb, acr, mdb, ach, 011, ab4, 009, 3pr, 3fr, vmx, vhd, vdi, asc, stm, mml, st7, otg, rvt, uop, qed, sxd, png, pps, pif, sxi, pdb, odp, pab, 123, ost, wk1, ogg, xlw, ndf, xlm, mkv, dif, m4p, sxc, log, ods, hpp, 602, hdd, 3dm, gif, 3ds, edb, txt, dit, uot, dat, pdf, cmt, PPT, bmp, sxw, bin, pem, wad, csr, tlg, sxw, py, rb, fh, gz, nd, js, al, db, ps 例えば： ![Image 10: ロッキーによる攻撃](https://staticfiles.acronis.com/images/content/e309f28a3cfdbd4f1b6ef42f78c77d94.png) ハードコードされたRSA-2048のパブ リックキーをインポートします。 ![Image 11: ロッキーによる攻撃](https://staticfiles.acronis.com/images/content/a41c7a180be9aafaff09c9ac8bb57ed3.png) ここで： 1バイト：BLOBタイプ= PUBLICKEYBLOB（0x06） 2バイト：バージョン= CUR_BLOB_VERSION（0x02） 5-8バイト：アルゴリズムID = CALG_RSA_KEYX（0x0000A400） 9-20バイト：RSAPUBKEY {magic = 'RSA1'、キー長= 2048ビット、公開指数= 65537} 21-276バイト：キーデータ256バイト Lockyは元のファイル名を " .asasin"に変更します。 次に、ファイルからデータを読み取ります。 ![Image 12: ロッキーによる攻撃](https://staticfiles.acronis.com/images/content/261776a590b86030fe68b145e110d297.png) 埋め込みAESアルゴリズムを使用して128ビットのキーでファイルのコンテンツを暗号化します。 ![Image 13: ロッキーによる攻撃](https://staticfiles.acronis.com/images/content/60e88b42bfc68a68e9c15b5b4f9015b5.png) 暗号化されたファイルのデータを元の名前を変更したファイルに書き込みます。 ![Image 14: ロッキーによる攻撃](https://staticfiles.acronis.com/images/content/ad4827a301be9868c6db306c2d0831d1.png) 836バイトのブロック（フッター）に暗号化 されたファイルの名前とAES-128キーを追加します。 ![Image 15: ロッキーによる攻撃](https://staticfiles.acronis.com/images/content/885f8a68601018afd9e4e912d010608c.png) したがって、ファイル全体の暗号化プロセスは次のようになります。 ![Image 16: ロッキーによる攻撃](https://staticfiles.acronis.com/images/content/2ab590f3f35033bac61b12951876c742.png) 暗号化されたファイルの内容は次のようになります。 ![Image 17: ロッキーによる攻撃](https://staticfiles.acronis.com/images/content/ace5f834d1b9468221b8150ed2ca716d.png) フッター（836バイト）は、4バイトの Locky lebel= "8956FE93h"で始まります。 ![Image 18: ロッキーによる攻撃](https://staticfiles.acronis.com/images/content/ec901839f2b7ac53ae6298c0f23e4241.png) 被害者のID = "JP70W9NS0DW7HAHG"となります。256バイトはMS CryptoAPIの助けを借りて行われたRSA-2048マスターパブリックキーで暗号化されたファイルのキーと同じになります： ![Image 19: ロッキーによる攻撃](https://staticfiles.acronis.com/images/content/b45290e4011806c4dcda5ad3dcbd686e.png) ![Image 20: ロッキーによる攻撃](https://staticfiles.acronis.com/images/content/7a90da4d63ae83cf9773b1892117f1d0.png) フッターの残りの560バイトには、先頭に別のLocky lebel= "0D41BA12Ah"が含まれています。 ![Image 21: ロッキーによる攻撃](https://staticfiles.acronis.com/images/content/a47a1a86f1583e635b069cabda06f922.png) そのファイルのデータの暗号化に使用されているのと同じ組み込みAES暗号アルゴリズムで暗号化されたファイル名である。これは、アンチウィルスの動作ブロッカーをバイパスするために行われます。 暗号化の後、暗号化されたファイルには次のデータブロックが含まれます。 バイト単位のサイズ データ 〜 128ビット鍵のAES暗号アルゴリズムを使用して暗号化されたファイルコンテンツ 4 ロック・ラベル1 = "8956FE93h" 16 被害者のID 256 RSA-2048マスター公開鍵で暗号化された128ビットのファイルのキー 560 Locky lebel2 = "0D41BA12Ah"とファイル名を含む暗号化データ 暗号解読サービス cryptolockerは、壁紙として設定された画像と、解読指示を持つhtmlページを作成し、ユーザーに表示します。 "HKCU \ Control Panel \ Desktop \" "Wallpaper" = "％USER％\ Desktop \ asasin.bmp" ![Image 22: ロッキーによる攻撃](https://staticfiles.acronis.com/images/content/47af0fa13cd8b091e8529bbec2de769f.png) ![Image 23: ロッキーによる攻撃](https://staticfiles.acronis.com/images/content/d602a02ff8b24271c84fee830e21e67a.png) ![Image 24: ロッキーによる攻撃](https://staticfiles.acronis.com/images/content/912c93034a3e764f3c93db9db59c4e95.png) 暗号解読サービス は、Torネットワークにあります。 ![Image 25: ロッキーによる攻撃](https://staticfiles.acronis.com/images/content/cbbbc348538da20e460a84c098626832.png) このバージョンでは、C＆Cとの通信は利用できません。 Acronis Active Protectionはこの脅威を停止させます [Acronis True Image 2018](https://www.acronis.com/ja-jp/personal/computer-backup/)をテストしたところ、予想通り、新種のLockyランサムウェアを検出してブロックしました。ユーザーファイルの暗号化が容易かつ確実に保護されていることを示します。 ![Image 26: ロッキーによる攻撃](https://staticfiles.acronis.com/images/content/ff7d5d36ae202a210915c574a967f37e.png) Acronisデータ保護ソリューションには、ランサムウェア（[Acronis Active Protection](https://www.acronis.com/ja-jp/ransomware-protection/)）に対するアクティブな保護機能が組み込まれています。個人向けバックアップソフト[Acronis True Image 2018](https://www.acronis.com/ja-jp/personal/computer-backup/)、 法人向け[Acronis Backup 12.5](http://www.acronis.com/ja-jp/business/backup/)、サービスプロバイダー様向け [Acronis Backup Cloud](https://www.acronis.com/ja-jp/cloud/service-provider/backup/)をご利用の場合は、[Acronis Active Protection](https://www.acronis.com/ja-jp/ransomware-protection/)が有効になっていることを必ず確認してください。ランサムウェアの脅威を検出し、攻撃をブロックし、影響を受けるデータを復元します。 [サイバーセキュリティ](https://www.acronis.com/ja/blog/tags/cybersecurity/) [サイバープロテクション](https://www.acronis.com/ja/blog/tags/cyber-protection/) ## Written by ![Image 27: Acronis Editorial Team](https://staticfiles.acronis.com/images/content/d85707ae91461544212d39836dc32b42.png) Acronis Editorial Team [前の記事](https://www.acronis.com/ja/blog/posts/acronis-disaster-recovery-cloudwoshi-merufang-fa/) [Acronis Disaster Recovery Cloudを始める方法](https://www.acronis.com/ja/blog/posts/acronis-disaster-recovery-cloudwoshi-merufang-fa/) [次の記事](https://www.acronis.com/ja/blog/posts/pasokonnasidemosumatohuonwo-acroins-true-image-2018debatukuatupu/) [パソコンなしでスマートフォンをバックアップする方法：Acroins True Image 2018 - アクロニス](https://www.acronis.com/ja/blog/posts/pasokonnasidemosumatohuonwo-acroins-true-image-2018debatukuatupu/) Acronis について 2003年にシンガポールで設立されたスイス企業であるアクロニスは、世界15か所にオフィスを置き、60か国以上に従業員を擁しています。Acronis Cyber Platformは150か国に26言語で提供され、21,000社を超えるサービスプロバイダーに採用され、75万社以上の企業を保護しています。 [Add as a preferred source on Google](https://google.com/preferences/source?q=acronis.com) ## Related stories Want to learn more? Read the latest stories featuring this solution on our blog. [Acronis ブログ](https://www.acronis.com/ja/blog/) ![Image 28: アクロニス、MDRを拡充し ワークスペースの保護を拡大](https://staticfiles.acronis.com/images/blog-card/e281cc03e2f1c206b3a0980077147e72.png) [アクロニス、MDRを拡充し ワークスペースの保護を拡大](https://www.acronis.com/ja/blog/posts/acronis-expands-mdr-toward-broader-workspace-protection/) サイバー攻撃は業務時間に関係なく発生します。夜間や週末、休暇中も例外ではありません。Acronis MDR by Acronis TRU（アクロニス自社が提供するMDRサービス）は、パートナーが自社でセキュリティオペレーションセンター（SOC）を構築することなく、エキスパートによる24時間365日の監視、調査、対応を可能にします。 アクロニスは、こうした専門知識の提供をより容易にし、パートナーがより多くのリスクに対処できるよう、MDRサービスの機能を拡充しています。これらの取り組みは、アクロニスによるマネージドセキュリティへの幅広いコミットメントに基づくものです。相互につながるワークスペースをMSP（ITサービス事業者）が保護できるように支援すると同時に、その顧客が脅威の調査、効果的な対応、事業継続に必要なエキスパートの支援を受けられることを目的としています。 **2026年10月14日(水)**8 分で読める内容です ![Image 29: OT ダウンタイムのコストは？潜在的な損失を算出](https://staticfiles.acronis.com/images/blog-card/7095be980c896c01b957951b13031803.png) [OT ダウンタイムのコストは？潜在的な損失を算出](https://www.acronis.com/ja/blog/posts/how-much-does-ot-downtime-cost-calculate-your-potential-losses/) 製造業は運用のモダナイズを進める中で、厳しい現実に直面しています。サイバーセキュリティ関連のインシデントが、いまや機械的な故障よりも多くのダウンタイムを引き起こしているのです。アクロニスのエキスパートが開発した新しい ICS/OT ダウンタイムカリキュレーターは、製造による収益、人件費、諸経費、そして貴社固有の環境要素を基に、ダウンタイムが事業に与える実際のコストを算出するための基準値を提示します。これは、リスク低減に向けた実践的な議論をするための出発点となるものです。 **2026年9月14日(月)**6 分で読める内容です ![Image 30: エアギャップネットワークの保護とOTセキュリティ](https://staticfiles.acronis.com/images/blog-card/22db728b1f126e454e37f4b99645f3c3.png) [エアギャップネットワークの保護とOTセキュリティ](https://www.acronis.com/ja/blog/posts/air-gap-ot-network-protection/) 隔離されたOT環境をUSBマルウェアやランサムウェアから守る方法を解説。オフライン保護、リムーバブルメディア管理、バックアップと迅速な復旧の要点を紹介します。 **2026年8月14日(金)**7 分で読める内容です