2020年に入っても、ランサムウェアは新たなファミリや攻撃手法、標的対象を次々と生み出し、今なお大きな脅威であり続けています。今回公開したトレンドマイクロの「2020年上半期セキュリティラウンドアップ」でも、「ランサムウェアの新たな戦略」として報告しておりますが、レポートではお伝えしきれなかった動向もありました。本記事では、新たに活発なメール経由の拡散が見られたランサムウェアファミリ「Avaddon（アヴァドン）」、一部のランサムウェアの亜種が実行する新たな検出回避手法、ランサムウェア攻撃が影響を与えた業界、検出数が最も多いランサムウェアファミリなどのランサムウェア動向をまとめて解説します。
トレンドマイクロでは、2017 年上半期（1～6月）における国内外の脅威動向について分析を行いました。この上半期に見られたセキュリティ上の最も大きなトピックは、「WannaCry」と「Petya」という 2 種のランサムウェアによる世界的な被害だったと言えます。この 2 種のランサムウェアは脆弱性を利用したネットワークワーム活動により、法人組織のネットワークで被害を引き起こしました。特に、通常の組織内にある情報系ネットワークだけでなく、工場や病院、鉄道、販売管理システムといった業種特有環境のネットワークでも深刻な被害を発生させたことで大きな注目を集めました。
2017年7月2日、モバイル向けランサムウェア「SLocker（エスロッカー）」の新しい亜種（「ANDROIDOS_SLOCKER.OPST」として検出）が確認されました。この亜種は、5月中旬に世界的に拡散した暗号化型ランサムウェア「WannaCry」の GUI をコピーしていました。SLockerファミリは、最も古くから拡散している端末ロック型および暗号化型ランサムウェアの一種で、ユーザに身代金を支払わせるために法執行機関を偽装する「ポリスランサム」の手口を利用します。ここ数年間あまり活動は確認されていませんでしたが、2017年5月に突然復活しました。この亜種は Android端末を狙う暗号化型ランサムウェアであること、そして先日の WannaCry の成功に便乗しようと企む最初のモバイル端末向けランサムウェアであることが特徴です。
続きを読む2016 年はランサムウェアが世界中で猛威を振るい、個人・法人を問わず多くのユーザがその脅威にさらされました。トレンドマイクロが 2016 年 8 月に国内法人ユーザを対象に実施した「企業におけるランサムウェア実態調査 2016 」の結果からも、約 4 人に 1 人が「自組織がランサムウェアの攻撃に遭ったことがある」と回答しており、深刻な実状が浮き彫りになっています。2017 年に入っても「WannaCry」による被害が世界中で発生するなど、引き続きランサムウェアは法人組織にとって深刻な脅威です。今回はこうしたランサムウェアの歴史を振り返るとともに、最新の脅威状況を踏まえ、今後予測される動向について解説します。
続きを読む脆弱性攻撃ツール「EternalBlue」は、2017 年 5 月中旬に世界的に拡散した暗号化型ランサムウェア「WannaCry」の事例で大きく注目されました。「WannaCry」の後には、ファイルを利用しないランサムウェア「UIWIX」、ワーム「EternalRocks」、仮想通貨発掘ボット「Adylkuzz」など、EternalBlue を利用した「模倣犯」が連続して登場しました。
この脆弱性を利用すると、攻撃者は、標的の PC 上で任意のコードを実行できます。この脆弱性は Microsoft のセキュリティ情報「MS17-010」で発表された更新プログラムによって 3 月の時点で既に修正されており、危険度と複雑度はハッキング集団「Shadow Brokers」によって公開されたその他の脆弱性と同様、中～高程度と考えられていました。
世界規模でさまざまな業種の法人に大きな影響を及ぼしたこの脆弱性攻撃ついて、その仕組みのより深い理解に役立つ技術的な情報を提供するため、本稿ではEternalBlue の脆弱性攻撃の詳細を解説します。
続きを読む2017年5月中旬、「EternalRocks（「TROJ_ETEROCK.A」として検出）」と呼ばれる新しいマルウェアが確認されました。このマルウェアは、ハッカー集団「Shadow Brokers」によって米国の「National Security Agency（国家安全保障局、NSA）」から流出した脆弱性やツールを利用しています。暗号化型ランサムウェア「WannaCry」が利用した脆弱性「EternalBlue」およびバックドアツール「DoublePulsar」に加えて、同じ経緯で流出した「EternalChampion」、「EternalRomance」、「EternalSynergy」、「ArchiTouch」、「SMBTouch」を利用しています。これらのほとんどは Windows OS のファイル共有プロトコル「Server Message Block（サーバメッセージブロック、SMB）」の脆弱性を狙ったものです。
続きを読む
2017年5月12日夜（日本時間）から世界各地で急速に感染拡大した暗号化型ランサムウェア「WannaCry」の被害は、この暗号化型ランサムウェアが持つ「kill switch 」のドメイン登録によって軽減されました。しかし、他のサイバー犯罪者による類似マルウェアが出現するのは時間の問題でした。暗号化型ランサムウェア「UIWIX（「RANSOM_UIWIX.A」として検出）」や感染PCを利用して仮想通貨の発掘を行うトロイの木馬型マルウェア「Adylkuzz（「TROJ_COINMINER.WN」として検出）」の出現はその良い例です。
続きを読む国内でも大きな話題となっているランサムウェア「WannaCry」ですが、5月12日の世界的な大規模拡散以降、その侵入と拡散について大きな疑問符が付いたままとなっていました。トレンドマイクロでは侵入と拡散の手法について探るため、WannaCry のワーム活動について徹底解析を行いました。WannaCry はワーム活動としては Windows の「MS17-010」の脆弱性の利用を確認していますが、この解析では同時にバックドアツール「DoublePulsar」を利用する詳細な活動内容が確認できました。
現在世界各地で報道を大きく賑わせ今週国内での被害が懸念されていた暗号化型ランサムウェア「WannaCry」ですが、トレンドマイクロが確認をした結果、国内にも多くの攻撃が着弾していることが明らかになりました。
トレンドマイクロのクラウド型セキュリティ基盤「Trend Micro Smart Protection Network」が集計したデータによると、トレンドマイクロが緊急事態と判断した 2017年5月12日21時42分（日本時間）の前後で着弾している攻撃の数が大きく異なることが分かりました。英国など各国での被害が明らかになり始めた後から攻撃の数は急速に拡大し、5月12日21時42分から 5月15日9時00分までの間に確認、ブロックした攻撃は全世界で 92,141件に上ることが分かりました。
また、日本でも同期間内に13,645件の攻撃が確認されており、全体に占める割合では14.8％にのぼりました。WannaCry の攻撃が日本時間で金曜の夜、つまり通常業務時間終了後の時間帯だったことから週が明けての被害が懸念されていましたが、月曜の始業前の時点まででも多くの侵入が確認されたことになります。
5月12日21時42分までの時点では、トレンドマイクロが確認、ブロックした WannaCry による攻撃は全世界で 2,128件、うちトップは報道でも騒がれているイギリスで 786件、一方日本への攻撃は 105件にとどまっていました。事態が深刻になる前から合計すると、WannaCry による攻撃は全世界に対して 94,269件、日本に対しては 13,750件確認、ブロックしている計算になります。
続きを読むトレンドマイクロでは、暗号化型ランサムウェア「WannaCry」の脅威について昨日報告しています。医療、製造、官公庁など世界各地でさまざまな業種の民間企業、官公庁自治体での被害が報道されていますが、今後国内での被害も懸念されるため注意喚起いたします。
今回確認されている「WannaCry」は、今年3月に明らかになったWindowsで利用される Server Message Block（SMB）の脆弱性「CVE-2017-0144」を利用した攻撃によりネットワーク経由で侵入、拡散するネットワーク上におけるワームの活動を持つことが特徴です。これにより組織のＬＡＮに侵入した場合にはネットワーク上で感染が拡大し、より深刻な被害となる可能性が高くなります。
続きを読む
