教育機関・医療機関を標的とするランサムウェア「Defray」の脅威と対策

「わずかに改変されたマルウェアを仕込んだスピアフィッシングメールを1通送るだけで、攻撃者はサイバーハイジーン(情報衛生)に無頓着な従業員を騙して添付ファイルを開かせたり悪意あるリンクをクリックさせたりすることで、数百万ドル規模の企業向けセキュリティソリューションを回避し、ネットワーク全体を侵害することができる。」

ジェームズ・スコット(Institute for Critical Infrastructure Technology シニアフェロー)

ランサムウェア「Defray」とは

近年、一部の有力組織のみを選んで攻撃する「Defray」と呼ばれるランサムウェアが確認されました。感染時に5,000ドルの身代金を要求するこの脅威は、C++で記述され、高度な暗号化アルゴリズムを使用するファイル暗号化型トロイの木馬です。

名前の由来と別名

「Defray」という名称は、最初に確認された攻撃で使用されていたコマンド&コントロール(C&C)サーバーのホスト名「defrayable-listings」に基づいています。

また、「Glushkovランサムウェア」という別名でも知られています。これは、脅威の拡散や攻撃者との連絡に使われたメールアドレス「admin@wsxdn.com」「glushkov®tutanota.de」などへの言及であると考えられます。

標的となるのは病院と教育機関

Defrayは小規模かつ選択的な攻撃を2回実施しており、非常に危険な暗号化型脅威として認識されています。PetyaやWannaCryといった有名なランサムウェアにも例えられるこの脅威は、報告によると主に病院や教育機関のネットワークを標的にし、データを暗号化しています。

最初の攻撃はヘルスケアおよび教育機関を対象とし、もう一方は製造業やテクノロジー関連の組織を狙いました。

感染経路――どのように拡散するのか

マルウェアの拡散に使用されるインストーラーは、実行可能なビデオクリップ(OLEパッケージャーシェルオブジェクト)が埋め込まれたWord文書を利用します。

受信者が埋め込まれた「動画」(実際は画像)を再生しようと操作すると、Defrayランサムウェアがインストールされ、起動します。インストール後すぐにデータの暗号化が始まり、その後身代金要求メモが表示され、アクセスを取り戻すには身代金を支払う必要があると告げられます。

攻撃者はフィッシングメールや標的型スピアフィッシングメールを使ってオフィス従業員を誘い込み、感染した文書を開かせます。メールは個人やグループ宛てに送信され、標的を引っ掛けるために特別に設計されたメッセージが含まれています。

攻撃のタイムライン

一連のキャンペーンは8月15日に製造業・テクノロジー業界の専門家を対象として初めて実施されました。続く8月22日には新たなキャンペーンが開始され、ヘルスケアおよび教育機関に偽メールが送信されました。このメールには、とある病院の情報管理・技術部門の責任者を名乗る人物からの「患者レポート」が添付されていました。

こうした偽メールはマルウェアへの招待状のようなもので、開いた瞬間に端末へインストールされます。まるで吸血鬼を家に招き入れ、自ら血を差し出すようなものです。

その後、デスクトップ上に身代金要求メモが表示され、被害者はビットコインで5,000ドルの支払いを求められます。

身代金要求メモの内容

身代金メモは「Files.TXT」と「HELP.TXXR」という2つのファイルとして配置され、以下のように述べられています。

「これはカスタム開発されたランサムウェアであり、アンチウイルスベンダーによって復号ツールが作成されることはない。このランサムウェアには名前さえない。ファイルの暗号化にはAES-256、暗号化されたAES-256パスワードの保存にはRSA-2048、暗号化ファイルの整合性維持にはSHA-2を使用している。C++で記述され、数多くの品質保証テストに合格済みだ。次回からこれを防ぐには、オフラインバックアップを活用せよ。」

暗号化されるファイルの拡張子

Defrayランサムウェアは、以下の拡張子を持つファイルを暗号化します。

.001, .3ds, .7zip, .MDF, .NRG, .PBF, .SQLITE, .SQLITE2, .SQLITE3, .SQLITEDB, .SVG, .UIF, .WMF, .abr, .accdb, .afi, .arw, .asm, .bkf, .c4d, .cab, .cbm, .cbu, .class, .cls, .cpp, .cr2, .crw, .csh, .csv, .dat, .dbx, .dcr, .dgn, .djvu, .dng, .doc, .docm, .docx, .dwfx, .dwg, .dxf, .exe, .fla, .fpx, .gdb, .gho, .ghs, .hdd, .html, .iso, .iv2i, .java, .key, .lcf, .lnk, .matlab, .max, .mdb, .mdi, .mrbak, .mrimg, .mrw, .nef, .odg, .ofx, .orf, .ova, .ovf, .pbd, .pcd, .pdf, .php, .pps, .ppsx, .ppt, .pptx, .pqi, .prn, .psb, .psd, .pst, .ptx, .pvm, .pzl, .qfx, .qif, .r00, .raf, .rar, .raw, .reg, .rw2, .s3db, .skp, .spf, .spi, .sql, .sqlite-journal, .stl, .sup, .swift, .tib, .txf, .u3d, .v2i, .vcd, .vcf, .vdi, .vhd, .vmdk, .vmem, .vmwarevm, .vmx, .vsdx, .wallet, .win, .xls, .xlsm, .xlsx, .zip

文書、画像、データベース、仮想マシンファイルまで幅広く対象となっており、業務データへの影響は甚大になり得ます。

被害を防ぐためにできること

こうしたランサムウェア攻撃は、常に備えと意識を高めておくべきという警鐘です。以下の基本的な対策を徹底しましょう。

• 差出人が不明なメールや、確信が持てないメールは開かない。
• メールに添付されたファイルをむやみに開かない。特に「動画」などと称された埋め込みオブジェクトには注意する。
• 不審なリンクはクリックしない。
• アンチウイルスソフトを必ず導入し、定義を常に最新の状態に保つ。
• 重要データはオフライン環境で定期的にバックアップしておく。

技術的な防御策と従業員一人ひとりのセキュリティ意識の両輪で初めて、組織は標的型攻撃から守られます。日頃からの備えこそが、最も確実な防御となるのです。