SMB1はランサムウェア攻撃にどれほど脆弱?危険性と無効化の手順を徹底解説

SMB(Server Message Block)は、コンピュータネットワーク分野でよく知られるプロトコルです。SMBは1980年代に、当時IBMに在籍していたBarry Feigenbaum氏によって設計されました。主な目的は、ネットワーク上のノード間でプリンター、ファイル、シリアルポートへの共有アクセスを提供することです。また、プロセス間通信のためのトランザクションプロトコルを運ぶこともできます。

Server Message Blockは主にWindowsコンピュータで利用されており、サーバー側コンポーネントには「LAN Manager Server」、クライアント側コンポーネントには「LAN Manager Workstation」というWindowsサービスが使用されます。

ここからは、SMBバージョン1(SMB1)について詳しく見ていきましょう。

SMB1の歴史

SMBは元々IBMによって設計され、1990年代半ばにMicrosoftがLAN Manager製品で採用しました。SMBの狙いは、DOSのINT 21hによるローカルファイルアクセスをネットワークファイルシステムへと拡張することでした。SMB 1.0は後に「CIFS(Common Internet File System)」という名称でも呼ばれるようになりました。平たく言えば、これはローカルファイルシステムをネットワーク越しに利用可能にする、ネットワーキングの始まりとも言えるものです。

当初のSMB 1.0の実装には多くの問題があり、特に小さなファイルの扱いでエンドユーザーが不便を強いられていました。さらにプロトコルが「おしゃべり(チャッティー)」な特性を持っていたため、距離が離れた環境ではパフォーマンスが低下する課題も抱えていました。Microsoftはこのバージョンに変更を加え、1990年頃に3Comと共同でOS/2向けに開発していたLAN Manager製品にSMBプロトコルを統合しました。その後、Windows for Workgroupsや以降のWindowsバージョンにおいて、プロトコルへの機能追加が続けられました。1996年のCIFSでは、Windows 95に搭載されるSMB方言が開発され、より大きなファイルサイズのサポート、TCP/IP上での直接転送、シンボリックリンクおよびハードリンクのサポートなどが追加されました。

SMBはどのように動作するのか

SMBプロトコルは、アプリケーションのユーザーがリモートサーバー上のファイルにアクセスできるようにするために使用されます。アクセス対象はファイルだけでなく、プリンターやメールスロットなどのリソースも含まれます。つまり、クライアントアプリケーションはリモートサーバー上のファイルに対して、読み取り、作成、移動、変更といった操作を行えます。また、SMBクライアントからの要求を受け付けるよう設定された任意のサーバープログラムにも接続可能です。

SMBプロトコルは、接続確立のためにサーバーとクライアント間で複数のメッセージをやり取りすることから、「レスポンス・リクエスト型プロトコル」とも呼ばれています。SMBはOSI参照モデルの第7層(アプリケーション層)で動作し、トランスポートにはTCP/IPのポート445を使用します。初期のSMBプロトコルは、APIとしてNetBIOS over TCP/IPを使用していました。

現在では、TCP/IP上で直接SMBをサポートしないデバイスと通信する場合にのみ、NetBIOS over トランスポートプロトコルが必要とされています。

SMB1はどのようにランサムウェア攻撃につながるのか

WannaCryランサムウェアをご存じの方も多いでしょう。多くの企業が金銭的な被害を受けた原因となったこのマルウェアのような、ランサムウェアやトロイの木馬の亜種は、Windows Server Message Block(SMB)の脆弱性を悪用して組織内のネットワークへ感染を広げます。

一般的に攻撃者はフィッシングメールを使って標的のシステムに感染させますが、WannaCryはそれとは異なる手法を取りました。公開されているSMBポートを標的とし、NSA(米国家安全保障局)から漏洩したとされる「EternalBlue」エクスプロイトを使ってネットワークに侵入し、その後「DoublePulsar」エクスプロイトを用いて永続化を確立し、WannaCryランサムウェアのインストールを支援したと言われています。

なぜこれほど効果的なのか

大きな被害をもたらすためには、ワーム型の感染は自己増殖を続ける必要があります。そうすることで少ない労力で指数関数的な拡散が実現します。そこで活用されるのがSMBの脆弱性であり、接続されたシステム間を横断的に(laterally)感染を広げる手段となるのです。

SMBのような不要なプロトコルやネットワークセグメンテーションの設定は、ハッカーにシステムを露出させる可能性があるため、無効化すべきです。また、すべてのシステムを最新のOSバージョンに保ち、セキュリティアップデートのパッチを適宜適用することが推奨されます。

SMBの設定はすべてのシステムで有効になっていますが、必ずしも全員が必要としているわけではありません。使用していないのであれば、SMB1およびその他の通信プロトコルを無効化することをおすすめします。

WannaCryはわずか2つのサイバーツールでSMBの脆弱性を悪用しました。しかし、SMBの脆弱性を利用したランサムウェア攻撃はこれだけではありません。次に襲来すると予測されていたワーム「EternalRocks」は、7つのサイバーツールを備えて世界中のシステムに感染しようとしていました。

EternalRocksは、EternalBlue、EternalChampion、EternalSynergy、EternalRomanceといった強力なServer Message Blockツールを利用するほか、SMBTouchやArchTouchと呼ばれるSMB偵察ツールも使って、感染済みコンピュータを監視する予定でした。

2つのツールだけでも世界的な大混乱を引き起こしたことを考えると、EternalRocksがもたらし得た破壊の規模は想像を絶するものだったでしょう。

攻撃はどのように行われたのか

現在、SMBの脆弱性を突くことができるエクスプロイトとして、EternalBlue、EternalChampion、EternalRomanceの3つが公開されています。EternalBlueはWannaCryやEmotetに、EternalRomanceはBad Rabbit、NotPetya、TrickBotに使用されました。さらにEternalSynergyというエクスプロイトも存在します。

これらのエクスプロイトはすべて、「ShadowBrokers」と名乗るハッカーグループによってリークされました。リークから1ヶ月以内にEternalBlueエクスプロイトが使用され、WannaCryは野火のように世界中に蔓延しました。

EternalRocksは、DoublePulsarをバックドアとして使い、感染システムにマルウェアをインストールする仕組みでした。

調査によると、このバックドアは依然として保護されておらず、他のハッカーがマルウェア導入の媒体として利用し、システムを破壊する恐れがありました。

その後も2017年には、Bad RabbitやNotPetyaといった大規模なマルウェア攻撃がSMBの脆弱性を利用して組織のネットワークに侵入しました。2018年の第3四半期から第4四半期にかけては、EmotetとTrickBotによるトロイの木馬攻撃がピークを迎えました。

SMBバージョン1とその脆弱性について十分に理解したところで、SMB 1を使用していないのであれば、無効化しておくに越したことはありません。

次のセクションでは、Windows上でSMB1を検出・有効化・無効化する方法を解説します。それでは進めましょう!