紹介

デジタルインフラへの依存が増すにつれて、ランサムウェア攻撃の影響はますます深刻化し、日常業務の混乱や財務上の損失を引き起こしています。サイバー犯罪者の逮捕は、彼らが自分たちの足跡を隠すために洗練された手法に訴えるため、ますます困難になっています。彼らが採用したそのようなツールの1つは、ランサム料金の受け取りに暗号資産を利用することです。彼らは、暗号資産の分散化と匿名性を利用して、支払い手段として優先的に利用しています。単独で、2023年におけるランサムウェア攻撃によるランサム料金は10億ドルを超えました。報告されましたブロックチェーン分析企業、Chainalysisによる。

Ransomwareとは何ですか？

ランサムウェアは悪意のあるソフトウェアであり、システムのデータを暗号化してアクセスできなくし、身代金が支払われるまで復号化されません。このサイバー攻撃は、個人、企業、政府機関を標的にし、彼らのシステムの脆弱性を悪用して不正アクセスを行います。マルウェアが展開されると、ファイルを暗号化し、通常は仮想通貨で支払いを要求してデータを復号化します。

ランサムウェア攻撃の主な目的は、主に金銭的ですが、場合によっては運用上の混乱を引き起こしたり、機密情報に不正アクセスを得たり、組織に他の要求に従わせるための圧力をかけるためにも使用されます。また、政治的緊張関係にある国々の間でサイバー戦のツールとしても使用されてきました。

ランサムウェアの歴史と進化

最初の知られているランサムウェア攻撃は、1988年のAIDSトロイのことで、PC Cyborgウイルスとも呼ばれています。これは、世界保健機関の会議参加者にフロッピーディスクで配布されました。一定回数のコンピュータの再起動後、トロイはファイルを暗号化し、パナマのP.O.ボックスに189ドルの身代金を要求しました。この攻撃は、現代のランサムウェアの基礎を築くために、今日の基準に比べて原始的な暗号化を使用していました。2006年以降、高度なRSA暗号化がウェブサイトやスパムメールを介してランサムウェアを配信するために使用され、ランサムの支払いはバウチャーやペイセーフカード、他の電子的な手段で行われ、追跡が困難でした。

ソース: Chainalysis

2010年までに、Bitcoinが人気を博するにつれて、攻撃者は追跡がはるかに困難な匿名通貨で身代金を要求し始めました。それ以降、より新しい、より洗練されたランサムウェアのモデルが開発され、2019年から2024年までに30億ドル以上を蓄積した犯罪業界が築かれました。

ランサムウェアにおける暗号資産の役割

暗号資産、特にビットコインの重要な特徴の1つは、その擬似匿名性です。取引はブロックチェーンに記録されますが、関係者の身元はウォレットアドレスによってマスクされており、攻撃者にたどり着くのは困難です。クレジットカードや銀行送金などの従来の支払いシステムでは、犯罪捜査当局がサイバー犯罪者を調査するために使用できる明確な身元の痕跡が残ります。

Bitcoinの取引はブロックチェーンで公開されているため、一部のサイバー犯罪者はプライバシーに焦点を当てたMoneroのような暗号資産にシフトしています。Moneroは匿名性の機能を提供し、ステルスアドレスとリング署名を使用して取引の詳細をさらに隠しています。

暗号資産ランサムウェアの動作原理

暗号資産ランサムウェアは通常、フィッシングメール、悪意のあるダウンロード、またはシステムの脆弱性を利用して、標的システムに侵入します。一旦侵入すると、マルウェアは複雑な暗号化アルゴリズムを使用して、被害者のコンピュータやネットワーク上のファイルを暗号化し、データにアクセスできなくします。

ソース：ComodoSSL

操作のステージは段階的に実行されます;

• 感染
• 暗号化
• 身代金要求

感染

暗号資産ランサムウェアは、次のようなチャネルを通じて被害者のデバイスに侵入します;

フィッシングメール：サイバー犯罪者は、正規の送信元から送信されたように見えるメールを送信し、受信者を騙して悪意のあるリンクをクリックさせたり、感染した添付ファイルをダウンロードさせたりします。これらのファイルはしばしば重要な文書やアップデートと偽装され、その本当の性質を隠しています。

古いソフトウェア：ランサムウェアは、オペレーティングシステムやアプリケーションの古いバージョンのソフトウェアのバグを悪用することができます。これは、Microsoft Windowsの脆弱性を利用したWannaCry攻撃で明らかになりました。

マルウェア広告：ユーザーはうっかりと詐欺的な広告と対話し、偽のソフトウェアの更新をダウンロードし、ランサムウェアのインストールを引き起こすことがあります。

リモートデスクトッププロトコルハック：リモートデスクトッププロトコル（RDP）は、組織の従業員が異なる場所から作業する状況でサーバーへのリモート接続を維持するために使用されます。従業員のコンピュータ上のRDPインターフェースは、サーバー上のRDPコンポーネントと暗号化プロトコルを介して通信します。暗号化されていますが、この接続モードは、悪意のある行為者が企業のサーバーにランサムウェアをアップロードするために使用するハックのリスクがあります。

暗号化

システムに入ると、ランサムウェアは被害者のファイルを暗号化し始めます。暗号資産ランサムウェアは、以下のような暗号化手法を使用します:

• RSA（Rivest–Shamir–Adleman）：公開鍵と秘密鍵のペアを使用する非対称暗号化アルゴリズム。公開鍵はファイルを暗号化し、攻撃者が保持する秘密鍵がそれらを復号化するために必要です。
• AES（Advanced Encryption Standard）：暗号化と復号化の両方に同じキーが使用される対称暗号化方式です。ランサムウェアはこれを使用してファイルを暗号化し、キーは攻撃者によって保管されます。

このマルウェアは、ドキュメント、画像、ビデオ、データベースなど、被害者の価値のあるものを含むファイル形式を対象としています。このプロセス中、ユーザーは暗号化が完了するまでデータがロックされていることに気付かないかもしれません。その結果、データを回復するための即時の選択肢がなくなります。

主要なランサムウェア攻撃の顕著なパターンの1つは、多くのスタッフがオンラインでない休日や時間帯に発生することであり、検出を回避することです。

ランサム要求

ソース：プルーフポイント

データを暗号化した後、ランサムウェアは、犠牲者に対してしばしばポップアップウィンドウ、テキストファイル、またはHTMLページを通じて身代金の要求書を表示します。

ビットコインと引き換えにプライベートキーを要求するランサムウェアの要求画面
ソース：Varonis

身代金は通常、BitcoinまたはMoneroで要求され、支払いサイトへのリンクや攻撃者との連絡方法（時にはダークウェブ上にホストされていることもあります）が提供されます。

ソース: Proofpoint

被害者が要求に従って要求額を送金すると、攻撃者はファイルを解除するための復号化キーを提供する場合があります。ただし、身代金を支払っても攻撃者が従うことを保証するものではありません。場合によっては、支払い後に復号化キーを受け取れない場合があり、または追加の身代金要求に直面する場合があります。

サイバーセキュリティの専門家や法執行機関は、サイバー犯罪者が二重の脅迫手法に訴える可能性があるため、身代金を支払うことを勧めていません。攻撃者は被害者のファイルを暗号化するだけでなく、機密データも盗みます。その後、もう一つの身代金が支払われない場合、データを公開または売却することを脅迫します。

注目すべき暗号資産ランサムウェア攻撃

WannaCry（2017）

WannaCryは、史上最も悪名高い広範囲にわたるランサムウェア攻撃の1つです。これは、以前にシャドウ・ブローカーズ・ハッカーグループがNSAから盗んだものとして知られるMicrosoft Windowsの脆弱性であるEternalBlueを悪用しました。WannaCryは、英国国民保健サービス（NHS）、FedEx、そしてルノーなどの主要機関を含む150か国以上で20万台以上のコンピュータに影響を与えました。特に医療システムでは患者サービスが深刻な影響を受け、広範囲にわたる混乱を引き起こしました。

WannaCry ランサムウェアの要求書
ソース：サイバースペード

攻撃者は、復号化キーと引き換えにビットコインで300ドルを要求しましたが、多くの被害者は支払った後もデータを回復できませんでした。攻撃はセキュリティ研究者によって最終的に停止されましたが、マルウェアのコードに埋め込まれた「キルスイッチ」が作動するまでに数十億ドルの損害を引き起こしました。

NotPetya (2017)

NotPetyaは、身代金要求のためではなく破壊を引き起こすように設計されたランサムウェアおよびワイパーマルウェアとして機能する二重災害マルウェアでした。

NotPetyaの身代金要求書
ソース：セキュリティアウトライン

マルウェアはビットコインの身代金を要求しているように見えましたが、支払い後も暗号化されたデータの回復は不可能であり、金銭的利益が真の目標ではないことを示しています。従来のランサムウェアとは異なり、NotPetyaはロシアとの地政学的緊張の時期にウクライナを標的にした政治的動機を持っているようです。最終的には世界中に広がりましたが、マースク、メルク、フェデックスなどの大規模な多国籍企業に損害を与え、世界で100億ドル以上の経済的損失を被ったと推定されています。

DarkSide（2021年）

DarkSideは、アメリカ合衆国の最大の燃料パイプラインであるColonial Pipelineへの攻撃により、世界的な注目を集めました。これにより東海岸全体で燃料不足が引き起こされ、燃料供給が混乱し、広範囲にわたるパニック買いが引き起こされました。Colonial Pipelineは最終的に400万ドル相当のビットコインを身代金として支払いましたが、その一部は後にFBIによって回収されました。

DarkSideランサムノート

Source: KrebsonSecurity

Ransomware-as-a-Service(ランサムウェア・アズ・ア・サービス)

RaaSは、ランサムウェアの作成者がその悪意のあるソフトウェアをアフィリエイトや他のサイバー犯罪者にリースするビジネスモデルです。アフィリエイトはこのソフトウェアを使用して攻撃を実行し、身代金の利益をランサムウェアの開発者と分け合います。

REvil(リビル)

REvil（別名Sodinokibi）は、ランサムウェアサービス（RaaS）として運営される、最も洗練されたランサムウェアグループの1つです。

REvilは、世界最大の肉供給業者であるJBSやソフトウェア会社であるKaseyaなど、グローバルな組織への注目を集める攻撃に関与しているとされており、これによりそのソフトウェア製品に依存している1,000以上の企業が影響を受けました。

クロップ

ソース：BleepingComputer

Clopは、企業を標的とした大規模なスピアフィッシングキャンペーンを実施し、巨額の身代金を要求するRaaS（Ransomware as a Service）のもう一つのランサムウェアです。Clopの運営者は、二重の脅迫技術を使用しています。データを暗号化する前に盗み、身代金が支払われない場合には機密情報を流出させると脅迫します。

2020年、Clopは、複数の大学、金融機関、政府機関に影響を与えたAccellionファイル転送ソフトウェアに関連する大規模なデータ漏洩の責任を負っていました。

暗号資産ランサムウェアに対する防御

最も効果的な防御は、マルウェアがシステムに侵入しないようにすることから始まります。以下に、コンピュータをランサムウェアから保護するためのいくつかの対策があります。

サイバーセキュリティ意識

ユーザーと従業員は、フィッシングメールや不審な添付ファイルなどの脅威を認識して対応するための訓練を受ける必要があります。定期的なサイバーセキュリティ意識向上トレーニングは、偶発的な感染のリスクを大幅に減らすことができます。

ソフトウェアの更新

オペレーティングシステム、アプリケーション、セキュリティソフトウェアの定期的な更新とパッチは、古いソフトウェアによるランサムウェアのリスクを制限することで、攻撃の被害を軽減します。

バックアップデータ

ランサムウェア攻撃が発生した場合、最近のバックアップがあれば、被害者は身代金を支払わずにデータを復元できます。バックアップは、ランサムウェアに感染されないように、オフラインまたはネットワークに直接接続されていないクラウド環境に保存する必要があります。

メールフィルター

電子メールフィルタリングシステムは、疑わしいリンク、添付ファイル、または特徴を持つ受信メッセージをスキャンします。これらのフィルタは、ユーザーの受信トレイに到達する前に既知の悪意のある要素を含む電子メールをブロックすることができます。

ネットワークセグメンテーションとアクセスコントロール

ネットワークセグメンテーションは、ランサムウェアがシステムに侵入した後の拡散を制限し、ネットワークの一部が侵害された場合でも、被害を封じ込めることができます。専門家は、機密性の高いシステムやデータを通常の運用から分離し、重要な領域へのアクセスを制限することを勧めています。

多要素認証 (MFA) や最小特権の原則 (必要なアクセス権のみをユーザーに付与する) などのアクセス制御により、ユーザー アクセスを制限できます。攻撃者が 1 つのアカウントまたはシステムにアクセスした場合、セグメンテーションとアクセス制御により、ネットワーク全体の水平移動を防ぎ、ランサムウェアの範囲を制限できます。

エンドポイント検出および応答（EDR）ソリューション

EDRソリューションは、エンドポイントの活動を継続的に監視し、ランサムウェア感染の初期兆候を検出するのに役立ちます。これらのツールは、疑わしい動作に自動的に応答し、感染したデバイスを分離し、ネットワーク全体へのランサムウェアの拡散を防ぎます。

結論

暗号資産ランサムウェアは、犯罪者がブロックチェーン技術の匿名性を利用する一例です。身代金としての暗号資産に対してはあまり対策が取れませんが、フィッシングリンクを避け、定期的なソフトウェアのアップデートを行うことで、ユーザーとシステムをランサムウェア感染から保護するのが最善の対策です。

また、定期的なデータバックアップを維持することで、攻撃が発生した場合に身代金を支払うことなく重要なファイルを復元できます。ネットワークセグメンテーションは、ランサムウェアの拡散を制限し、システムの特定の部分に限定し、影響を受けていない領域を保護するため、もう1つの重要な防御手段として機能します。