2024.08.23
サイバーセキュリティ

ランサムウェア最新情勢

セキュリティに課題を抱える企業を対象に独自のセキュリティサービスを提供されている、株式会社CISO 代表取締役那須慎二様によるセキュリティコラム第2弾第2回。今回は、ランサムウェアの最新情勢をご紹介いただきます。

前回は、サイバー攻撃が激増している理由をご説明いただきました。
何故、サイバー攻撃は激増の一途を辿るのか

その理由は言わば「儲かる」からであり、サイバー犯罪マーケットと言えるほど巨額の利益を得ている集団も登場してきている中、いくつかの最新攻撃手法をご紹介いただきました。
今回はその中のひとつ、ランサムウェアの最新情勢をその変遷とともにご紹介いただきます。

ランサムウェア最新情勢【セキュリティコラム第2弾第2回】

前回のコラムでもランサムウェアに関する内容は明記しましたが、ランサムウェアの脅威は現在最も注意すべき最大の脅威であり、その脅威は年々増加の一途をたどっています。

今年に入ってからも、大手中小関係なく、様々な企業がランサムウェアの被害に遭っており、経済活動に多大な損害を与えているのはご存知の通りです。

大手メディアであるKADOKAWAが被害にあったことで、一躍有名になった「BlackSuitランサムウェア」。米CISAとFBIによる発表によると、元々は「Royalランサムウェア」という名称で攻撃を行っており、ブランド変更がなされた犯罪者集団であった、とのことでした。

ランサムウェアの変遷

実は「Royalランサムウェア」はその攻撃手法から「Contiランサムウェア」の後継とされ、「Contiランサムウェア」の源流は、2018年から2019年に暗躍した「Ryukランサムウェア」。Ryukランサムウェアは2017年に暗躍した「Hermesランサムウェア」の亜種です。
ランサムウェアの変遷をまとめると以下のような流れになっています。

「ランサムウェアの変遷」
2017年：Hermes
↓
2018年～：Ryuk
↓
2020年～：Conti
↓
2022年～：Royal
↓
2024年：【今】BlackSuit

ランサムウェアは、過去に攻撃が成功した際の技術を継承する特徴があり、最新情報を抑えるには、どのような変遷があったのかを抑えるのが効果的です。

ランサムウェア変遷の中で、押さえておくべきブランドは「Ryukランサムウェア」です。

Ryukランサムウェアとは

実はRyukは、マルウェアの王とも言われ、日本で猛威を振るった添付メール型のマルウェアである「Emotet（エモテット）」でも使われており、フィッシングメールを介して攻撃を仕掛け、メールを開封した端末を入口として、攻撃範囲を社内端末にどんどん広げていくという特徴を持っています。

攻撃の入口としては、フィッシングメールのみならず、VPN機器の脆弱性や、公開されているリモートデスクトップ（RDP）経由で侵入したり、脆弱性のある公開アプリケーション（主にWebサイトの脆弱性）経由で侵入を試みたりと様々です。

どのような手順で攻撃してくるのか

侵入後は、Windows端末に標準で備わっているコマンドプロンプトやPowerShell等を利用し、ウイルス対策ソフトを回避しつつ、足場固めを行います。攻撃者があらかじめ用意している遠隔操作サーバ（C2サーバ）への接続には、Secure Shell (SSH) クライアントやPuTTY、OpenSSHなどが使われます。これらソフトウェアも正規のものであるため、ウイルス対策ソフトやUTMが反応できません。

更に攻撃者は、攻撃の範囲を広げるためにウイルス対策ソフト（特に、Windows Defender）の無効化を試みたり、ドメインコントローラを探索し、Windowsサーバのアップデートがなされていない場合はその脆弱性を突いてドメインコントローラに侵入し、本格的な攻撃へと移行していきます。

BlackSuitも二重脅迫型を踏襲するランサムウェアであるため、暗号化処理を行う前に、情報の集約と窃取を行い、それらが終了したあとにデータを暗号化し、暗号化が終了したタイミングを見計らって各種ログファイル（アプリケーション、システム、セキュリティイベントログ）を削除します。

サイバー被害に遭わないために

以上のように、ランサムウェアは過去の技術を継承しつつも、ウイルス対策ソフトの検出を回避するための正規プログラムやソフトウェアを活用します。そして、このような攻撃者の攻撃パターンがわかれば、対策方法も見えてきます。例えばPuTTYやOpenSSHを使っていないのにインストールされているのは明らかに危険な兆候がある、等です。

攻撃者の最新動向を把握することは、サイバー被害に遭わないためにも有効であることを覚えておきましょう。

筆者紹介

那須慎二（なすしんじ）
株式会社CISO 代表取締役

国内大手情報機器メーカーにてインフラ系SE経験後、国内大手経営コンサルティングファームにて中堅・中小企業を対象とした経営コンサルティング、サイバーセキュリティ・情報セキュリティ体制構築コンサルティングを行う。
2018年7月に株式会社CISO 代表取締役に就任。人の心根を良くすることで「セキュリティ」のことを考える必要のない世界の実現を目指し、長年の知見に基づく独自のセキュリティサービス（特許取得　特許第7360101号）を提供している。業界団体、公的団体、大手通信メーカー、大手保険会社、金融（銀行・信金）、DX関連など業界問わず幅広く講演・執筆多数。近著に「知識ゼロでもだいじょうぶ　withコロナ時代のためのセキュリティの新常識（ソシム）」あり。

カテゴリ：

サイバーセキュリティ

タグ：

ランサムウェア
サイバー脅威
セキュリティスキル

一覧へ戻る