今日の脅威状況において、暗号化型ランサムウェアの活動は前年2017年と比べ顕著な停滞状態にあるとはいえ、現在もサイバー犯罪者の主要な手口の一つとして利用されています。実際、2018年上半期内では、わずかに活動の増加を見せ、セキュリティ対策製品を回避するための微調整により、その活動を維持しています。今回取り上げる「 PYLOCKY（パイロッキー） 」(「 RANSOM_PYLOCKY.A 」として検出）に関しては、すでに確立されたランサムウェアファミリを模倣し、それらの悪評に便乗し活動しています。
トレンドマイクロは7月下旬から8月全体を通して、暗号化型ランサムウェア「PyLocky」を拡散するスパムメールの活動の波を確認しました。このランサムウェアは、身代金要求文書において「Locky」になりすましていますが、「PyLocky」と「Locky」の相互の関係性はありません。
続きを読むトレンドマイクロでは 2017 年 1 年間における国内外の脅威動向について分析を行いました。結果、2017 年は様々なサイバー犯罪において特筆すべき変化が起こった「転換期」に位置づけられる年であったと言えます。
2016 年に過去最大規模の被害を発生させた「ランサムウェア」の攻撃総数は、2016 年のおよそ 10 億件から 2017 年はおよそ6億件へと減少しました。しかし、ランサムウェア自体はサイバー犯罪者にとっての「ビジネス」として完全に定着すると共に、より効果的な攻撃を実現させるための攻撃手法の多様化が見られました。2017 年新たに登場した「WannaCry」は 5 月に脆弱性を利用したネットワークワーム活動を取りいれ、6 月以降も継続して拡散を拡大しています。また、既存の「LOCKY」や「CERBER」のような既存のランサムウェアは度重なる改変による多機能化などから、より攻撃しやすいツールとしてサイバー犯罪者に継続して利用されました。これら新旧のランサムウェアの代表である「WannaCry」、「LOCKY」、「CERBER」の 3 種のファミリーでランサムウェア検出台数全体の約 7 割を占める一方、残りの 3 割は「その他」ファミリーによるものであり多種多様なランサムウェアによる小規模な攻撃の多発を示しているものと言えます。
「CERBER」は、2016年初期に出現して以来、随時斬新な手法を取り入れることで知られる暗号化型ランサムウェアのファミリです。これまで、音声による脅迫、クラウドサービスの悪用、データベースの暗号化、「malvertising（不正広告）」を利用した拡散、Windows スクリプトファイルの利用、各種のエクスプロイトキットなどを機能に取り入れ、時とともに改善してきました。目立って広く利用されている理由の1つは、CERBER はロシアのアンダーグラウンド市場で販売されているため、各方面のサイバー犯罪者にとって入手しやすいことにあるかもしれません。CERBER は日本国内でも拡散が確認されており、国内で 2016年10~12月に確認したランサムウェアを感染させる脆弱性攻撃サイトのうち、9割以上が「CERBER」を拡散させていたことは以前の記事で報告の通りです。
しかし、トレンドマイクロは、これまでとは異なる不正活動を見せる亜種（「RANSOM_CERBER.F117AK」として検出）を確認しました。この亜種は、セキュリティ対策ソフトウェアを暗号化対象ファイルから除外するため、一見無意味な骨折りをしています。
続きを読む米国の「サンフランシスコ市交通局（San Francisco Municipal Transport Agency、SFMTA）」は、2016年11月28日（現地時間）、ランサムウェアの攻撃を受けたことを公表しました。SFMTA の説明によると、11月25日にランサムウェアによる感染を確認し、当初約900台の PC が影響を受けたとのことです。また、暗号化されたデータの回復のために 100BTC（ビットコイン、2016年12月6日時点で日本円にして 9百万円前後）を要求されており、要求に応じない場合、収集した 30GB分のデータを公開する、との脅迫を受けているとの報道もあります。トレンドマイクロでは、この攻撃で使用されたランサムウェアは 2016年9月に登場した暗号化型ランサムウェア「HDDCryptor（エイチディーディークリプタ）」の新しい亜種であり、ばらまき型の攻撃ではなく、ネットワークの侵入により SFMTA 内に感染したものと推測しています。
続きを読む「CERBER」の作成者およびこのランサムウェアを利用するサイバー犯罪者は、自身の利益をより増やすことに余念がないようです。このランサムウェアは、バージョン 4.0から、企業に大きな影響を与えるデータベースファイルの暗号化機能を追加しています。整理された情報を保管する収納庫であるデータベースは、企業が保持する情報を保管・検索・分類・分析・管理することを可能にします。効果的に利用すれば、企業の効率アップに役立つデータベースですが、これらの重要なファイルを人質に取られれば、ビジネスの運営と収益に損害を受ける恐れがあります。
続きを読む暗号化型ランサムウェア「Locky」ファミリは、2016年2月に確認されて以来、注目度の高いランサムウェアの1つとなっています。そしてブラジルのアンダーグラウンドで販売されたり、様々なエクスプロイトキットにより拡散されたりしてきました。また、拡散の手法にマクロや JavaScript、VBScript、Windows スクリプトファイルといったファイルを利用することで知られています。そして今回、トレンドマイクロは、DLLファイルを利用する「Locky」を新たに確認しました。
続きを読む
