BlackByteランサムウェアとは?感染手口と企業が講じるべき防御策を徹底解説

米連邦捜査局(FBI)と米国シークレットサービス(USSS)は、BlackByte(ブラックバイト)ランサムウェアに関する情報を提供するため、合同のサイバーセキュリティ勧告を発表しました。これによると、2021年11月時点でBlackByteランサムウェアは米国内外の多数の企業に感染しており、米国では少なくとも政府施設、金融、食品・農業という3つの重要インフラ分野が標的となっています。

BlackByteランサムウェアとは

BlackByteは「Ransomware as a Service(RaaS)」と呼ばれる型のランサムウェアグループです。物理サーバーおよび仮想サーバーを含むWindowsホストシステム上のファイルを暗号化し、身代金を要求します。

BlackByteランサムウェアの手口

BlackByteの攻撃手法には大きく2つの形態があります。ひとつは攻撃者による直接攻撃、もうひとつはマルウェア作者に利用料を支払った他の犯罪者がソフトウェアツールを使って展開するRaaS版です。多くのマルウェアと同様に、PCのブートセクターに感染する能力を持っており、電源を切って再起動しても感染が残る恐れがあります。

BlackByteは、Microsoft Exchangeサーバーを標的として組織内への侵入を図る点が特徴です。メール環境を失うことはあらゆる企業にとって深刻な打撃となりますが、Exchangeは特に危険性が高い存在です。というのも、Exchangeのアップグレードは簡単かつ短時間で完了する作業ではないため、今なお2013年版や2016年版といった旧バージョンを使用し続けているIT管理者が少なくないからです。

BlackByteに感染すると、ファイルが暗号化され、攻撃者への連絡方法やデータ復元の手順などを記した身代金要求メモ(「BlackByte restoremyfiles.hta」ファイル)が生成されます。同時に、暗号化されたファイルには「.blackbyte」という拡張子が付加されます。たとえば「1.jpg」は「1.jpg.blackbyte」、「2.jpg」は「2.jpg.blackbyte」というように変化します。この身代金メモは、文書やデータベースなどのデータが暗号化されたことを被害者に通知するためにサイバー犯罪者が作成したものです。

被害者がファイルを復号するには、復号ツールを入手する必要があります。攻撃者のメールアドレス(admin@wsxdn.com)に連絡すると、復号ツールの入手方法について指示を受けられます。なお、攻撃者は「復元できることの証明」として、2つのファイルを無料で復号する提案をしてくるのが通例です。ただし、身代金を支払ってもデータが完全に復元される保証はないため、支払いは推奨されません。

BlackByte攻撃の最近の事例

近年の注目すべき事例として、NFLのサンフランシスコ・フォーティナイナーズへの攻撃が挙げられます。攻撃者はチームの財務データを入手したと主張しました。合同勧告によると、複数の被害組織において、攻撃者は既知のMicrosoft Exchange Serverの脆弱性を悪用して環境への初期アクセスを獲得していたことが判明しています。データを収集・暗号化する前に、ランサムウェアの攻撃者はネットワーク内を横断的に移動(ラテラルムーブメント)できるツールを使用し、アクセス権限の昇格も試みていました。

PCはどのようにランサムウェアに感染するのか?

サイバー犯罪者がマルウェアを拡散する手段は多岐にわたります。代表的なものとしては、トロイの木馬、悪意のあるメール、信頼できないダウンロード元、ソフトウェアのクラックツール(海賊版アクティベーター)、偽のソフトウェアアップデーターなどが挙げられます。

トロイの木馬はPCにインストールされると感染を引き起こします。大半のトロイの木馬は正規のプログラムを装っている点に注意が必要です。また、マルウェア配布メールには、悪意のあるMicrosoft Officeドキュメント、実行ファイル(EXEなど)、JavaScriptファイル、PDFドキュメントなどが添付されていることが多く、受信者がこれらのファイルを開くことでシステムが感染します。

さらに、信頼できないサイトからファイルやプログラムをダウンロードさせられるケースもあります。クラックツールはライセンスソフトを不正に無料で使えるようにする目的で配布されますが、その大部分は実際にはPCへマルウェアを感染させることを狙ったものです。偽のアップデーターも、更新や修正を行うどころか、旧バージョンの脆弱性やセキュリティホールを突いたり、直接マシンに感染させたりする被害をもたらします。

企業が自らを守るためにできること

ここでは、BlackByteランサムウェアからビジネスを守るために実践したい対策を紹介します。

1. 脆弱なバージョンのExchangeを使用している場合は、Microsoftが提供する各種修正パッチをできるだけ早く適用しましょう。より望ましいのは、最新版のExchangeへのアップグレード計画を策定し、可能であればOffice365やGoogle Workspaceへの移行を早期に実現することです。
2. バックアップが常に最新の状態に保たれ、実際にサーバーの復元に使用できることを確認してください。
3. Exchangeサーバーを独立したネットワークセグメントに分離することで、メール経由の脅威によるリスクを低減できます。過去にこの対策を実施していた多くの組織では、BlackByteによるネットワーク全体の壊滅的な被害を回避できています。
4. 万が一被害に遭った場合は、過去のBlackByte攻撃用に作成された復号キーを使ってデータを復号できる可能性があります。ただし、攻撃者が新しいバージョンのマルウェアを使用している場合、このキーが機能する保証はありません。
5. 最も重要なのは、ランサムウェアを検知したマシンやデバイスを即座にネットワークから隔離することです。
6. アプリやアップデートのダウンロードは、必ず公式ウェブサイトから行いましょう。
7. リアルタイム保護機能を備えたウイルス対策ソフトを導入し、PCを安全に保ちましょう。

補足:マルウェア対策ならSystweak Antivirus

Systweak Antivirusは、あらゆる種類の悪意ある脅威からコンピュータをリアルタイムで保護します。StopAllAdsブラウザ拡張機能も搭載しており、不要な広告をフィルタリングするとともに、マルウェアなどの悪意あるソフトウェアのダウンロードやアクセスをブロックしてPCを守ります。365日24時間体制でエクスプロイト攻撃からコンピュータを防御し、すべてのセキュリティニーズに応えるワンストップソリューションとして、PCのパフォーマンス向上にも貢献します。

リアルタイム保護: PC上での挙動に基づいて潜在的な脅威や不審なアプリを検出できる、数少ないアンチウイルス製品のひとつです。

簡単な操作性: 直感的で使いやすいユーザーインターフェースを備えており、家族全員が安心して利用できます。

軽量設計: システムリソースの消費を最小限に抑える設計のため、CPUリソースを無駄にしません。

安全で快適なブラウジング: 広告ブロッカー機能により、広告を表示させずに安全にインターネット閲覧が可能です。

スタートアップ管理: PCの起動時間を遅くしている不要なコンポーネントをオフにできます。

まとめ:BlackByteランサムウェアから身を守るには?

上記で紹介した予防策と保護対策を実践すれば、PCを一定水準まで安全に保ち、ランサムウェアに感染するリスクを大幅に低減できます。日頃からのPC衛生管理とOS・ソフトウェアのアップデート徹底こそが、安全で安心な環境を維持する鍵となります。Systweak Antivirusのようなリアルタイム検出型のセキュリティソフトを併用すれば、マルウェアや潜在的な脅威の活動を即座に察知でき、さらなる防御力アップにつながるでしょう。

Facebook、Instagram、YouTubeでもテクノロジー関連のヒントやテクニック、よくある問題の解決策を定期的に発信しています。ご質問やご提案があれば、ぜひコメント欄でお知らせください。