Ragnar Locker(ラグナーロッカー)ランサムウェアとは?感染手口と対処法・予防策を徹底解説

ランサムウェアは、最も厄介なマルウェアの一種です。攻撃者は被害者の重要なデータを人質に取り、その解放と引き換えに金銭の支払いを要求します。ランサムウェアは密かにデバイスへ感染し、重要なデータ(バックアップファイルを含む)を暗号化した後、身代金の金額と支払い方法を記した指示を残します。しかし、たとえ身代金を支払っても、攻撃者が実際に復号鍵を渡してくれる保証は一切ありません。仮に復号できたとしても、一部のファイルが破損していて結局使い物にならなくなるケースも少なくありません。

近年、ランサムウェアの脅威は急速に拡大しています。ハッカーにとって、マルウェアを仕込み、Bitcoinでの送金を待つだけという、最も直接的な収益手段だからです。Emsisoftの調査データによると、2019年のランサムウェア攻撃件数は前年比41%増加し、米国では約1,000の組織が被害を受けました。Cybersecurity Venturesはさらに、「企業は11秒ごとにランサムウェア攻撃を受ける」とまで予測しています。

2020年初頭には、新種のマルウェア「Ragnar Locker」が、リスボンに本社を置くポルトガルの電力大手Energias de Portugal(EDP)を攻撃しました。攻撃者は身代金として1,580BTC(当時約1,100万ドル相当)を要求しました。

Ragnar Lockerランサムウェアとは?

Ragnar Lockerは、単にデータを暗号化するだけでなく、管理サービスプロバイダー(MSP)がよく利用するConnectWiseやKaseyaなどのアプリケーションや、複数のWindowsサービスを強制終了させる機能を持つランサムウェアです。暗号化されたファイルには、「ragnar」という文字列とランダムな数字・英字で構成される固有の拡張子が付加されます。例えば「A.jpg」というファイルは「A.jpg.ragnar_0DE48AAB」のように改名されます。

ファイルの暗号化後、Ragnar Lockerは同じ命名形式のテキストファイル(例:「RGNR_0DE48AAB.txt」)として身代金要求メッセージを作成します。

このランサムウェアはWindowsコンピュータでのみ動作しますが、開発者がMac版も設計しているかどうかは現時点で不明です。MSPが一般的に使用するプロセスやアプリケーションを標的にすることで、攻撃の検知や阻止を回避しようとします。また、標的は英語圏のユーザーに限定されています。

Ragnar Lockerが初めて確認されたのは2019年12月末頃で、侵害されたネットワークへの攻撃の一部として使用されました。セキュリティ専門家によれば、欧州のエネルギー大手に対する今回の攻撃は、入念に計画された周到なものであったと指摘されています。

実際の身代金要求メッセージの内容

以下は、Ragnar Lockerが残す身代金要求メッセージの要点をまとめたものです。

• 「あなたのネットワークは侵入され、すべてのファイルとデータがRAGNAR_LOCKERによって暗号化されました。バックアップも含めすべてロックされており、秘密鍵なしに復号する方法はありません」
• 「ファイル自体は破損していません。支払えばすぐに取り戻せます。私たちは金銭のみが目的で、情報を盗んだり削除したりする意図はありません。これはビジネスです」
• 「第三者製ソフトでの復号やOSの再インストールを試みれば、データは永久に失われます」
• 「機密情報はすでに取得済みです。支払わなければ一般公開します」
• 2日以内の連絡で割引価格を適用。14日間連絡がない場合は身代金が2倍に、21日間連絡・合意がない場合は復号鍵を完全に削除
• 盗んだ機密情報は、公開または転売業者に流されると脅し
• 誠意の証明として、1ファイルを無料で復号して見せる
• 身代金額はネットワーク規模・従業員数・年間売上に基づいて個別算定
• 連絡手段はTOXメッセンジャー(qTOX)、予備としてメールアドレスを提示

Ragnar Lockerの感染手口と動作

Ragnar Lockerは通常、ConnectWiseなどのMSP向けツールを経由して配信されます。サイバー犯罪者は、高度に標的化されたランサムウェアの実行ファイルをドロップします。この感染手法は、過去にSodinokibiなど悪名高いランサムウェアでも使われたものです。

この種の攻撃では、攻撃者はまず無防備または脆弱なRDP接続を通じて組織内に侵入します。その後、ツールを使ってアクセス可能なすべてのエンドポイントへPowerShellスクリプトを送信します。スクリプトはPastebinからペイロードをダウンロードし、ランサムウェアを実行してエンドポイントを暗号化します。ペイロードが実行ファイル形式で届けられるケースもあれば、追加スクリプトがダウンロードされる完全なファイルレス攻撃となるケースもあります。

Ragnar Lockerは、MSP環境で運用されることの多い以下のソフトウェアを特別に狙います。

• vss / sql / memtas / mepocs
• sophos / veeam / backup
• pulseway / logme / logmein
• connectwise / splashtop / kaseya

このランサムウェアは、まず標的のファイルを盗み出して攻撃者自身のサーバーへアップロードします。Ragnar Locker最大の特徴は、単にファイルを暗号化するだけでなく、身代金が支払われなければ盗んだデータを公開すると脅す点です。EDPへの攻撃では、推定10TBもの盗難データの公開が脅され、これは史上最大級のデータ漏洩につながる可能性がありました。攻撃者は、すべてのパートナー・顧客・競合他社に侵害を通知し、漏洩データを報道機関へ送って公表するとまで主張しました。EDP側は電力サービスやインフラへの影響はないと発表しましたが、迫るデータ漏洩は同社にとって重大な懸念材料となっています。

サービスの無効化やプロセスの終了は、セキュリティソフト、バックアップシステム、データベース、メールサーバーを無力化するためにマルウェアがよく使う手口です。これらが停止されると、そのデータが暗号化されます。

初回起動時、Ragnar LockerはWindowsの言語設定をスキャンします。英語設定であれば次のステップへ進みますが、旧ソ連諸国の言語が検出されると、プロセスを終了して暗号化を行いません。

Ragnar Lockerは、MSPのセキュリティツールがランサムウェアの実行を阻止できるようになる前に、それらを無効化します。侵入に成功すると、埋め込まれたRSA-2048鍵を使って重要なファイルの暗号化を開始します。

なお、Ragnar Lockerはすべてのファイルを暗号化するわけではなく、以下のようなフォルダ・ファイル名・拡張子はスキップされます。

• kernel32.dll、Windows、Windows.old
• Tor browser、Internet Explorer、Google、Opera、Opera Software、Mozilla、Mozilla Firefox
• $Recycle.Bin、ProgramData、All Users
• autorun.inf、boot.ini、bootfont.bin、bootsect.bak、bootmgr、bootmgr.efi、bootmgfw.efi
• desktop.ini、iconcache.db、ntldr、ntuser.dat、ntuser.dat.log、ntuser.ini、thumbs.db
• .sys / .dll / .lnk / .msi / .drv / .exe

新しい拡張子の付加に加えて、Ragnar Lockerは暗号化された各ファイルの末尾に「RAGNAR」というファイルマーカーを書き込みます。

その後、「.RGNR_[拡張子].txt」という名前の身代金メッセージをドロップします。内容には身代金額、Bitcoinの支払いアドレス、攻撃者との通信用TOXチャットID、TOXに問題がある場合の予備メールアドレスが含まれます。他のランサムウェアと異なり、Ragnar Lockerには固定の身代金額がなく、標的ごとに個別に計算されます。報告によれば、その額は20万ドル〜60万ドルの範囲で変動し、EDPの場合は1,580ビットコイン(約1,100万ドル)が要求されました。

Ragnar Lockerの駆除方法

不幸にもRagnar Lockerに感染した場合は、まずすべてのファイルが暗号化されているか、そしてバックアップファイルまで暗号化されていないかを確認してください。こうした攻撃は、重要データのバックアップを日常的に取ることの重要性を浮き彫りにします。バックアップがあれば、少なくともファイルへのアクセスを完全に失う心配はありません。

身代金の支払いは避けてください。支払っても無意味です。攻撃者が正しい復号鍵を送ってくれる保証はなく、盗んだデータが公開されない保証もありません。むしろ、支払い意思があると知られた攻撃者は、さらなる金銭要求を続けてくる可能性が非常に高いのです。

最初にすべきことは、復号を試みる前にコンピュータからランサムウェアを除去することです。ウイルス対策ソフトやマルウェア対策アプリでシステム全体をスキャンし、検出された脅威をすべて削除しましょう。次に、マルウェアに関連している可能性のある不審なアプリやブラウザ拡張機能をアンインストールします。

最後に、Ragnar Lockerに対応した復号ツールを探しましょう。ランサムウェア暗号化ファイル向けの復号ツールはいくつか存在しますが、まずはお使いのセキュリティソフトベンダーが対応ツールを提供しているかを確認してください。例えば、AvastやKasperskyは独自の無料復号ツールを公開しています。

Ragnar Lockerから身を守るための対策

ランサムウェアは、特に既存の復号ツールでは元に戻せない暗号化を行われた場合、非常に深刻な被害をもたらします。デバイスをRagnar Lockerをはじめとするランサムウェアから守るために、以下のポイントを必ず押さえておきましょう。

• 強力なパスワードポリシーを採用する:可能であれば二要素認証や多要素認証(MFA)を導入します。難しい場合は、推測困難なランダムで一意なパスワードを生成・運用しましょう。
• 離席時は必ずPCをロックする:昼食、短い休憩、移動など、席を離れる際は必ず画面をロックし、不正アクセスを防ぎます。
• データのバックアップと復旧計画を策定する:特に重要情報は、可能な限りネットワーク外や外部デバイスに保管します。バックアップは定期的にテストし、緊急時に正しく復元できることを確認しましょう。
• システムを常に最新に保つ:ランサムウェアはシステムの脆弱性を悪用します。最新のセキュリティパッチを適用し、デバイスの防御を万全にしましょう。
• フィッシングの手口に警戒する:フィッシングはランサムウェアの最も一般的な感染経路です。怪しいリンクはクリックせず、メール添付ファイルはダウンロード前に必ずスキャンします。
• 堅牢なセキュリティソフトを導入する:信頼性の高いセキュリティソフトをインストールし、脅威定義データベースを常に最新の状態に保ちましょう。

ランサムウェア攻撃は年々巧妙化しており、Ragnar Lockerのような「データ窃取+公開脅迫」型の攻撃は今後さらに増えると考えられます。日頃からのバックアップ習慣、従業員へのセキュリティ教育、多層防御の導入といった基本対策を確実に実施することが、被害を最小限に抑える鍵となります。