SamSamランサムウェアとは?仕組みと対策・駆除方法を徹底解説

SamSamランサムウェアとは?

SamSam(サムサム)ランサムウェアは、ボットのように感染を広げるマルウェアです。コンピューターへの侵入に成功すると、ネットワーク上のリソースを探索し、それを足がかりにさらに感染範囲を拡大していきます。標的となった組織内で十数台のコンピューターに感染した後、できる限り多くのファイルを暗号化し始めます。

SamSamランサムウェアは、これまでにアメリカ国内で約67の組織が標的になったと報告されています。侵入に成功するたびに高額な身代金を要求し、その額は数百万ドルに及ぶこともあります。2018年にはアトランタ市の自治体コンピューターやコロラド州運輸省が攻撃を受けました。被害者の多くは医療機関でした。

SamSamランサムウェアの仕組み

多くのランサムウェアがスパムメールやフィッシングキャンペーン、エクスプロイトキットを使って無差別に拡散されるのに対し、SamSamランサムウェアは標的型で拡散される点が特徴です。攻撃者はまず組織のネットワークへのアクセス権を取得し、ネットワーク構成を把握する「偵察」作業に時間をかけます。そのうえで、最も多くのコンピューターのファイルを暗号化できる絶好のタイミングを見計らって実行に移します。

このマルウェアの背後にいるハッカーは、「リビング・オフ・ザ・ランド(Living off the Land)」と呼ばれる手法を使用しています。これは、OSに元々備わっている正規の機能やツールを悪用して標的のネットワークを侵害する手口です。この戦術により、マルウェアは拡散中も目立たずに潜伏することができます。

2018年に記録された攻撃では、ハッカーは48時間もの間、検知されずに潜伏することに成功しました。この間に、Microsoft SysinternalsのPsInfoなどのシステム情報収集ツールを利用し、ネットワークリソースを使って他のマルウェアをダウンロードさせ、悪意ある活動を支援させていたことが確認されています。

侵入プロセスが完了すると、マルウェアは復号条件を記したメッセージを画面に表示します。そして、数十万ドルに及ぶこともある巨額の身代金をビットコインアドレスへ送金するよう要求してきます。

想像できるように、侵入に成功した場合、被害者にとって甚大な結果をもたらします。業務全体が混乱し、対応には多大なストレスと膨大な費用がかかるのです。

SamSamランサムウェアへの予防策

SamSamランサムウェアは、簡単に侵入できる標的を狙います。堅固に守られたコンピューターを避け、セキュリティ対策が甘い組織を選んで攻撃します。つまり、組織側のネットワークセキュリティの怠慢こそが、攻撃者にとって「やりやすい仕事」を提供してしまうのです。以下に、SamSamランサムウェアを防ぐための具体的な対策を紹介します。

強力なアンチウイルスソフトを導入する

Outbyte Antivirusのようなプレミアムアンチウイルスソリューションは、マルウェア攻撃を常時監視してくれます。無料版をダウンロードしたい誘惑に駆られるかもしれませんが、侵入に成功した場合に組織が被る甚大な損害を考えれば、信頼できる有料の保護に投資する価値は十分にあります。

多要素認証(MFA)を導入する

組織の外部に公開されているすべてのアプリケーションには、多要素認証を設定しましょう。これにより、仮に不満を持った従業員や内部犯が認証情報を売却しても、攻撃者がそれを利用して不正ログインすることを防げます。

パッチ適用と脆弱性スキャンを行う

外部に公開されているアプリケーションは、脆弱性に対して常にパッチを適用しておく必要があります。ハッカーは、マルウェアをコンピューターに仕掛ける際に、こうした脆弱性を悪用します。

インシデント封じ込め契約を活用する

インシデント封じ込めリテイナー(事前契約)を結んでおけば、万一の事態が発生した際に迅速に対応できる体制を整えられます。マルウェア関連のインシデントはネットワーク全体のコンピューターやシステムに影響を及ぼすため、特に重要です。

バックアップを運用する

重要な患者記録を扱う医療機関のような大規模な組織であれば、SamSamマルウェアのような攻撃に備えたバックアップシステムを持たない言い訳はできません。バックアップは、業務を支障なく継続するための唯一の手段となる可能性があります。

デバイスをSamSamランサムウェアから守るには

上記の予防策をすべて講じていたとしても、実際に攻撃を受けたり、侵入を試みられたりする可能性はゼロではありません。アクティブな攻撃に直面したときの対処法をいくつか紹介します。

• 攻撃が成功してしまった場合でも、身代金を支払うのは避けましょう。支払いは攻撃者を増長させ、次回さらに攻撃を激しくさせるだけです。しかも、ファイルが返還される保証は一切ありません。
• 不審なメール、特に添付ファイル付きのメールは、本物だと確信できるまで開かないでください。また、「IT部門」を名乗る人物から電話があり、パスワードや識別情報の提供を求められた場合は、詐欺と判断してください。
• すべてのコンピューターを常に最新の状態に保ちましょう。中小規模の組織では台数が多いため更新を忘れがちですが、侵入キャンペーンを成功させるために必要なのは、たった一つの弱点だけです。

SamSamランサムウェアの駆除方法

SamSamマルウェアに感染した後のクリーンアップ作業は、数百台から数千台のコンピューターを抱える大規模組織にとって非常に高額になる可能性があります。復旧には、Windowsの新規インストールと、システムの復元や「セーフモードとネットワーク」での個別起動といったWindowsの回復プロセスを組み合わせて行います。

Windows 10/11のコンピューターを「セーフモードとネットワーク」で起動するには、以下の手順を実行してください。

1. 電源ボタンを約10秒間押し続けて、コンピューターの電源を切ります。
2. もう一度電源ボタンを押してデバイスの電源を入れます。Windows回復環境(winRE)が表示されるまで、電源のオン/オフを繰り返します。
3. Windows回復環境にオプションの選択画面が表示されたら、トラブルシューティング > 詳細オプション > スタートアップ設定 > 再起動の順に選択します。
4. コンピューターが再起動すると、オプションの一覧が表示されます。その中からセーフモードとネットワークを矢印キーで選択するか、キーボードの「5」を押してください。

これでインターネットに接続できるようになり、アンチウイルスソフトをダウンロードしたり、SamSamランサムウェアへの対処方法を調べたりできるようになります。