これまでに発生した最大級のランサムウェア攻撃徹底解説

2017年から2018年にかけて、ランサムウェアはサイバー空間における最も深刻な脅威であり続けました。企業の規模を問わず、これらの攻撃は被害者から数百万ドルもの身代金を巻き上げ、ハイジャックされた暗号化ファイルのロック解除と引き換えに支払いを強要してきました。Bitcoinなどの仮想通貨の爆発的な普及により、資金の追跡はほぼ不可能となり、デジタル恐喝による利益構造が形成され、ランサムウェアは個人・企業双方にとって現実的な脅威へと発展しました。報告によれば、個人は10秒に1回、企業は40秒に1回攻撃を受けているとのことです。最近では、高度な技術知識を持たない人々までもが模倣型のランサムウェア変種を作り出し、ネット上に恐怖を広めようとしています。

この脅威は容易には収まりそうにありません。そこで本記事では、これまでに発生した特に壊滅的なランサムウェア攻撃について詳しく解説します。

歴史上最大級のランサムウェア攻撃

GandCrab

GandCrabは2018年で最も有名なランサムウェアであり、すでに膨大な数へと拡散しています。ユーザー自身のデータへのアクセスを制限する従来の手法に加え、GandCrabは新たな手口を編み出しました。マルウェアがシステムに侵入すると、すべてのファイルを「.GDCB」拡張子で暗号化します(例：beach.jpgはbeach.jpg.GDCBに変更)。暗号化処理の直後、GandCrabは「GDCB-DECRYPT.txt」という復号ファイルを生成し、現在の状況と次のステップである復号に関する指示を記載します。データを復号するには、被害者はTorブラウザで専用ページにアクセスし、GandCrab開発者が管理するリモートサーバーに保存された復号鍵を、約1.5Dash(暗号通貨、約300〜500ドル相当)の身代金を支払って入手する必要があります。支払いが完了すると、復号鍵が解放される仕組みです。

WannaCry

WannaCryはおそらくこれまでで最も有名なランサムウェア攻撃です。150か国以上に影響を及ぼし、英国国民保健サービス(NHS)のような著名な標的も含まれていました。WannaCryマルウェアは「ドロッパー」と呼ばれる形式でシステムに侵入します。ドロッパーには、ファイルを暗号化/復号するアプリケーション、暗号化鍵を含むファイル、IPアドレスを追跡不能にするためのTorブラウザのコピーなど、複数のコンポーネントが含まれています。ハッカーは限られた期限内に数百ビットコインの身代金を要求し、データ損失を脅しに使って緊急性を煽りました。このランサムウェアの初期感染経路は、MicrosoftのSMB(Server Message Block)でした。SMBは通常、閉じたネットワーク内のコンピュータ間でのファイル共有に使用されますが、1台でも公衆ネットワークに接続されていれば悪用される可能性があります。その結果、SMBノードに接続されたすべてのシステムがこの攻撃に対して脆弱になりました。

関連記事：SpriteCoinにご注意を——それはランサムウェア！

GoldenEye(NotPetya)

NotPetyaとしても知られるGoldenEyeランサムウェア攻撃は、FedEx、Merck、Cadbury、AP Moller-Maerskといった数十億ドル規模の大企業のシステムを襲いました。これらの企業の合計時価総額は1,300億ドルに上ります。「ハッカーは乗っ取ったコンピュータ1台につき300ドル以上を要求したのでは？」と思われますが、彼らの真の目的はデータの破壊でした。GoldenEyeはPetyaファミリーに属する(ゆえにNotPetyaと呼ばれる)ランサムウェアで、コンピュータ上の重要ファイルを暗号化し、機密性の高い認証情報を盗み、さらにハードディスク自体も掌握します。GoldenEyeと比較すると、WannaCryはかなり基本的なものでした。GoldenEyeはデータを掌握するだけでなく、コンピュータを強制的に再起動させると同時にすべてのログを削除するため、ハッカーを追跡することが困難になります。このマルウェアの侵入は、ネットワーク内の誰かがメールやWord文書を使って標的を騙すことで実行される可能性があります。当時最も巧妙なマルウェアの一つと言えるでしょう。

CryptoLocker

CryptoLockerはランサムウェアの伝統的なモデルで動作します。トロイの木馬がシステムに侵入し、最終的にシステム上の重要なファイルをすべて暗号化。ハッカーはファイルを復元するために必要な復号鍵と引き換えに300ドルを要求しました。実際の手口はソーシャルエンジニアリング技法を用いたもので、正規のものに見えるパスワード保護付きZIPファイルをメール添付として開かせます。ユーザーがこのファイルを開くと、トロイの木馬がバックグラウンドで自動的に実行され、暗号化する各ファイルごとに個別の対称鍵を生成します。暗号化方式はRSA 2048ビットでした。

zCrypt

zCryptはウイルスのように振る舞うタイプのランサムウェアです。メールやダウンロードを通じて拡散する他のランサムウェア攻撃とは異なり、USBメモリを介して別のコンピュータへと拡散していきます。標的に到達するとすぐに「autorun.inf」というファイルを生成し、感染したUSBメモリが別のシステムに接続されると自動実行されるようにします。攻撃者がすべてのデータを暗号化した後、4日以内の支払いを求めてきます。この期間を過ぎると身代金は増額され、7日以内に支払いがない場合、ハッカーのサーバーに保存されている復号鍵は破棄されます(2016年1月の攻撃事例による)。

zCryptの厄介な点は、たとえユーザーが盗まれたデータを諦めても、依然としてシステムを使用できないところです。zCryptは既存データを暗号化した後も活動を止めず、ファイルの変更や新規作成を監視し続け、新たなファイルも次々と暗号化します。マルウェアを完全に除去しない限り、解放されることはありません。

上述の攻撃に加えて、近年のメール攻撃としては、脅威やトロイの木馬を含む悪意ある添付ファイルを配信するQuant Loaderが挙げられます。これはランサムウェアやパスワード窃取ソフトウェアをインストールすることが可能です。この新しい攻撃は、2年前から存在するInternet Explorerの脆弱性を突き、ハッカーがゲートウェイのセキュリティ機能を突破することを可能にしました。

しかし今回は、攻撃者はWebブラウザの代わりにSambaを利用してファイルやドキュメントをダウンロードするという別のアプローチを採用し、セキュリティ機能を完全に回避しています。このメールは請求明細書や、添付ファイル(.zipファイル)だけが入った本文なしのメールとして検出されています。それらのzipファイルにはWindows Script Files(.wsf)が含まれており、Quant Loaderがファイルをインストールできる仕組みになっています。ただし、Sambaを使ったインストールではhttps://ではなくfile://アドレスが使用される点が特徴です。

IT管理者が組織を守るためにできること

以下は、ランサムウェア攻撃のリスクを最小限に抑えるために、組織を積極的に保護するためのポイントです。

• 二段階認証の活用 — フィッシング攻撃は今なお非常に効果的です。二段階認証は従業員が被害を限定するうえで大きく役立ちます。認証情報が紛失・盗難された場合でも、二段階認証によって被害をある程度抑えることができます。
• 機密データの暗号化 — どの企業も一度はデータ漏洩の問題に直面したことがあります。重要な情報をすべて暗号化しておけば、万が一盗まれた場合でも、ハッカーはデータを利用できなくなります。
• 物理的セキュリティにも注意を払う — データはオフラインでも盗まれます。監視カメラを設置し、立ち入り禁止区域に誰も侵入して会社のデータを盗んだり改ざんしたりできないようにすることが不可欠です。
• 最も脆弱な攻撃経路を守る — メールはランサムウェア攻撃の最も脆弱な入口です。多くの場合、これらの攻撃は感染した添付ファイル付きの普通のメールによって引き起こされます。写真、動画、ドキュメント、YouTubeリンク、その他マルウェアを含むファイルなどが例です。そのメールが本当に自分宛てのものである、または差出人を直接知っていると確信できない限り、開いてはいけません。見知らぬメールを受け取った場合は、会社のデータセキュリティ担当者に報告し、すぐにそのメールを削除してください。
• 従業員を賢く育てる — 従業員に、自分自身と組織にとってサイバーセキュリティがどれほど重要であるかを教育しましょう。そして何より、攻撃の兆候を見分け、適切に対応する方法を教えることが重要です。
• 常に警戒する — 攻撃が起こるのを待つのではなく、警戒を怠らず、法執行機関からの情報を通じてデータ漏洩について学びましょう。ログファイルを活用し、攻撃やセキュリティ問題の早期兆候を特定するようにしてください。

攻撃への対応策とは？

すべてのデータのクローンをローカルバックアップサーバーに保存するといった従来の対策は、もはや時代遅れになりつつあります。多くの場合、問題が大規模なサイト障害でない限り、組織は迅速にデータベースを復旧できます。一方、クラウドの普及はこの分野に新たなリスクをもたらしています。バックアップサーバーとメインサーバーの間でファイルを共有するのが非常に簡単になった反面、侵入される可能性のあるインターネット接続を経由することになるからです。しかも、ランサムウェアは時間とともに進化を続け、メインサーバーだけでなくバックアップサーバーまで破壊する独自の手口を獲得しています。

今日のこの問題に対する解決策は、人工知能ベースの機械学習（Machine Learning）技術の採用です。MLを活用すれば、開発者は過去のランサムウェア攻撃のデータベースをもとにシステムを訓練できます。あとは機械学習プロセスに任せることで、過去の攻撃パターンとの関連性を導き出し、新しい亜種を素早く把握して防御することが可能になります。

これまで見てきたように、ランサムウェア攻撃は時間とともに増加し、より大きな影響を与えていくでしょう。組織は、メールのスキャン、ダウンロードのフィルタリング、システムの更新といった日常的な対策を疎かにした結果、ハッカーに金銭を支払い続けることになりかねません。