ランサムウェア攻撃の 3 つの主要段階

BTW Media は、公開された証拠がインターネットインフラ、ガバナンス、運用依存関係、または市場の可視性と関連しているため、ランサムウェア攻撃の 3 つの主要段階をプロファイルしています。

• ランサムウェアは、コンピューターウイルスの一種であり、マルウェアとも呼ばれ、コンピューターをロックし、データの復元のために支払いを要求する警告を表示します。
• ランサムウェア攻撃は通常、感染と配信のベクター、データの暗号化、身代金の要求という 3 つの主要な段階で進行します。
• ただし、ランサムウェアの種類によって、異なる実装や追加の段階が含まれる場合があります。

サイバー犯罪は長年にわたって増加しており、その勢いは衰える兆しを見せていません。かつてサイバー攻撃は大企業を標的としていましたが、今では中小企業の経営者から地方自治体の職員、個人に至るまで、誰もが警戒を怠ってはなりません。

最も一般的なサイバー攻撃の 1 つがランサムウェアです。ランサムウェアは、コンピューター上のデータをロックし、身代金を支払うまで人質に取ります。適切に備えていない場合、これらの攻撃は壊滅的な被害をもたらす可能性があります。

ランサムウェアとは？

ランサムウェアは、コンピューター上のファイルを可逆的に暗号化するマルウェアの一種です。多くの個人や企業がセキュリティ上の理由から定期的にファイルを暗号化している一方で、ランサムウェアは、復号鍵をコンピューターの所有者ではなく攻撃者が保持している点で問題です。つまり、ユーザーは、ハッカーが復号するまでファイルにアクセスできません。

典型的なランサムウェア攻撃では、ハッカーは支払いと引き換えにファイルの復号を提案します。これが攻撃の身代金であり、個人の場合は数百ドルから、大企業の場合は数百万ドルに及ぶこともあります。

ランサムウェアの中には、所定の時間が経過するとファイルを削除するものもあり、被害者に迅速な支払いを迫ります。他の攻撃では、攻撃者がデータのコピーも盗み出し、支払いを拒否するとそれを公開すると脅迫します。この種の攻撃は、機密データを保管する大企業や政府機関にとって特に問題となる可能性があります。

合わせて読みたい：地域インターネットレジストリ（RIR）はいくつある？

ランサムウェア攻撃の仕組み

ランサムウェアが成功するには、標的システムにアクセスし、そこにあるファイルを暗号化し、被害者に身代金を要求する必要があります。

実装の詳細はランサムウェアの亜種によって異なりますが、すべてに共通する 3 つの基本的な段階があります。

1. 感染と配信のベクター

他のマルウェアと同様に、ランサムウェアはさまざまな方法で組織のシステムにアクセスします。しかし、ランサムウェアの運用者は、特定の感染ベクターを好む傾向があります。

フィッシング：これは最も一般的なソーシャルエンジニアリングの手法であり、あらゆる種類のマルウェアの主要な攻撃経路であり続けています。攻撃者は、正規のように見えるメールに悪意のあるリンクや添付ファイルを挿入し、ユーザーを騙して意図せずマルウェアをインストールさせます。スミッシング、ビッシング、スピアフィッシング、水飲み場攻撃は、攻撃者が人を騙してマルウェアをインストールさせるために使用する、フィッシングやソーシャルエンジニアリング詐欺の一形態です。

RDP と認証情報の悪用：これは、ブルートフォース攻撃やクレデンシャルスタッフィング、またはダークウェブで認証情報を購入して正規ユーザーとしてシステムにログインし、ネットワークをマルウェアに感染させる手法です。攻撃者に好まれるプロトコルの 1 つであるRDPは、管理者が事実上どこからでもサーバーやデスクトップにアクセスでき、ユーザーがリモートで自分のデスクトップにアクセスできるようにします。しかし、適切に保護されていない RDP 実装は、ランサムウェアの一般的な侵入口となっています。

ソフトウェアの脆弱性：これらもランサムウェア感染の格好の標的です。攻撃者は、パッチが適用されていない古いソフトウェアを悪用して、被害者のシステムに侵入します。史上最大のランサムウェアインシデントの 1 つであるWannaCryは、パッチが適用されていない Windows Server Message Block（SMB）プロトコルの脆弱性である EternalBlue エクスプロイトに関連しています。

合わせて読みたい：APNIC の IPv6 アドレスを理解するには？

2. データの暗号化

ランサムウェアがシステムにアクセスすると、ファイルの暗号化を開始できます。暗号化機能はオペレーティングシステムに組み込まれているため、ファイルにアクセスし、攻撃者が管理する鍵で暗号化し、元のファイルを暗号化されたバージョンに置き換えるだけです。ほとんどのランサムウェアの亜種は、システムの安定性を確保するために、暗号化するファイルを慎重に選択します。一部の亜種は、復号鍵なしでの回復をより困難にするために、バックアップコピーやファイルのシャドウコピーを削除する措置も取ります。

3. 身代金の要求

ファイルの暗号化が完了すると、ランサムウェアは身代金の要求を行う準備が整います。ランサムウェアの亜種によって実装方法はさまざまですが、デスクトップの背景が身代金要求のメモに置き換えられたり、暗号化された各ディレクトリに身代金要求のテキストファイルが配置されたりすることがよくあります。通常、これらのメモは、被害者のファイルへのアクセスと引き換えに、一定額の暗号通貨を要求します。身代金が支払われると、ランサムウェアの運用者は、対称暗号鍵の保護に使用された秘密鍵のコピーか、対称鍵自体のコピーを提供します。この情報は、サイバー犯罪者から提供された復号プログラムに入力することで使用でき、暗号化を逆転させてユーザーのファイルへのアクセスを回復することができます。

これらの 3 つの基本的な段階はすべてのランサムウェアの亜種に存在しますが、ランサムウェアによって異なる実装や追加の段階が含まれる場合があります。たとえば、Maze のような亜種は、暗号化前にファイルのスキャン、レジストリ情報の収集、データの窃取を行い、WannaCry ランサムウェアは、感染して暗号化する他の脆弱なデバイスを探します。