ランサムウェアの最新事情と8つのベストプラクティス - ソフォス

ここに来て、ランサムウェアによる攻撃が、個人だけでなく企業の間でも目立ってきている。このような状況を受けてソフォスは4月20日、セキュリティ情報のポータルサイト「SOPHOS INSIGHT」内において「ランサムウェア最前線：Lockyなどの脅威にどう対応するのか"」と題するウェビナーを開催。同社セールスエンジニアリング部セールスエンジニアの椎山浩二氏が、ランサムウェアの沿革と最新情報、予防措置などについて解説を行った。

ランサムウェアの侵入経路と攻撃パターン

巷を騒がせている「ランサムウェア（Ransomware）」とはマルウェアの一種であり、“Ransom＝身代金”というその名の通り、システム内の機密情報を暗号化したりPCをブロックしたりして使用不能にし、その復旧を条件に金銭を要求してくるというものだ。2013年に最初のランサムウェア「CryptoLocker」が登場した後、新しい亜種が次々と登場。身代金はランサムウェアによって異なるが、通常は200～500ドルで、現在の日本円で2～5万円程度となる。

ランサムウェアの感染ルートは主に2つある。1つはソーシャルエンジニアリングを使ったスパムメールへの添付ファイルであり、もう1つは改ざんされたWebサイトへのアクセスである。ランサムウェアの攻撃に使用されるテクノロジーの特徴として、メール経由の場合はマクロ付きのMicrosoft OfficeドキュメントやFlash、JavaScriptが用いられるケースが多く、またWebサイトを介する場合、エクスプロイトキットがよく使われている点がある。エクスプロイトキットとは、システムの脆弱性を攻撃するプログラムをすぐに作ることができるようパッケージ化したものであり、ブラックマーケットで簡単に入手可能なため多くの攻撃者が使用している。

ソフォスセールスエンジニアリング部セールスエンジニア椎山浩二氏

「特に有名なエクスプロイトキットがAnglerで、ランサムウェアでは、CryptoWall、TeslaCrypt等によって使用されます。その多くのパターンでは、脆弱性のあるクライアント側のWebブラウザが標的となります」と、椎山氏はコメントする。

よくあるランサムウェアの攻撃パターンは、以下のようなものだ。まず、スパムメールに添付されたエクスプロイトキット、またはランサムウェアがインストールされると、感染させたコンピューター内の情報を攻撃者が使用するC&Cサーバーへと送信し、このコンピューター用の公開鍵をダウンロードさせる。次にこの公開鍵を使用して、ローカルコンピューターだけでなく、アクセス可能なすべてのネットワークにあるファイルが暗号化される。さらに、データを復旧できないようにするため、Windows OSの自動バックアップ（シャドウコピー）を削除するケースもある。こうしてファイルの暗号化が成功すると、データ復号化のために身代金を支払う指示を行った後、自分自身を削除してしまう。

身代金を要求するメッセージのサンプル

「身代金の支払いでは、多くのケースで接続経路を匿名化するTorを介して操作が指示されます。ただし、もし身代金を支払ったとしても、復号化の鍵を必ずもらえるわけではありません」と、椎山氏は注意を促す。