ランサムウェア

ランサムウェアとは、感染したコンピュータをロックしたり、ファイルを暗号化したりすることによって使用不能にしたのち、元に戻すことと引き換えに「身代金」を要求するマルウェアです。なお、ランサムウェアという言葉はRansom（身代金）とSoftware（ソフトウェア）を組み合わせた造語です。

2019年以降のランサムウェアは、その多くが暗号化やロックだけでなく、事前に組織がもつ情報を窃取した上で「身代金を支払わなければ情報を暴露する」と二重の脅迫を行う暴露型の手法を採用しています。ただし、攻撃者が暴露による脅迫を行うためには、ランサムウェア感染前に事前に情報を窃取しておく必要があります。

このことから近年のランサムウェアは、ランサムウェア本体を直接メールに添付して感染させるばらまき型の手法から、攻撃者が標的組織の内部ネットワークにあらかじめ侵入し、情報窃取を達成した後に攻撃の最終段階でランサムウェアを展開する、標的型攻撃と同様の手法で用いられるようになっています。このようにランサムウェアを用いた一連の攻撃のことを「ランサムウェア攻撃（別名：人手によるランサムウェア攻撃、Human-Operated Ransomware）」と呼びます。

画像（左）：ランサムウェア「WannaCry（ワナクライ）」の身代金要求画面
画像（右）：暴露型ランサムウェア「Lockbit 2.0」の身代金要求画面

世界初のランサムウェアが出現したのは1989年であり、「AIDSTrojan」というファイルを暗号化し身代金を要求するマルウェアです。この当時はまだ現在のランサムウェアのようにインターネット経由で感染するものではなく、外部媒体等から感染していました。その後は主立った流行を見せていなかったランサムウェアですが、2005 年には感染した端末のデータを暗号化するランサムウェアが流行し、2010 年には感染した端末をロックするランサムウェアが登場します。この時期は、主にメールの添付ファイルなどを経由してランサムウェアが拡散されました。

ランサムウェアが世界的に大きな注目を浴びたのが2017年です。「WannaCry」が脆弱性を悪用することで世界中に拡散し、大きな被害をもたらしました。その後、企業のセキュリティレベル向上によってランサムウェア被害は減少の一途をたどっていましたが、2018年に標的型攻撃の手法でランサムウェア感染を試みる「Ryuk」が出現したことによって、再びセキュリティの重大脅威となりました。2019年以降は「MAZE」の登場をきっかけに、一連の攻撃の中で情報を窃取し、窃取した情報を用いて暴露の脅迫を行う「二重脅迫」の手口が普及し、更に被害を拡大させています。

図：ランサムウェアの主な変遷

標的型攻撃と同様の手法で行われるランサムウェア攻撃は、主に「初期侵入」「内部活動」「情報送出」「ランサムウェア実行」の4つのフェーズから成り立っています。

図：ランサムウェア攻撃の手口

攻撃者は、情報窃取およびランサムウェア展開という目標を達成するために、事前に内部ネットワークに侵入します。内部ネットワークに侵入する方法として、主に以下の方法が行われます。

なお、アンダーグラウンド上では特定の企業のアクセス権が販売されていることがあります（Access as a Service、AaaS）。ランサムウェア実行者が自身で初期侵入の侵害を行うのではなく、このサービスを利用して別の攻撃者から企業ネットワークのアクセス権を購入する場合もあります。

標的組織の内部ネットワークへの侵入に成功した攻撃者は、遠隔操作ツール（RAT、Remote Access Tool）を用いて企業ネットワーク内の端末を遠隔操作することで、出来る限り強力な権限・多くの権限の獲得を試みます。なお、内部ネットワークでの活動において、攻撃者は出来る限り不正プログラムではなく正規ツールを悪用して攻撃活動を検知されないように隠蔽する「環境寄生型（Living Off th Land）」の手法が採用されます。例として、多くの内部活動では商用ペネトレーションテストツール「Cobalt Strike」が悪用されています。これらのツールは不正なツールではないため、セキュリティ製品による検出や監視の目を免れる可能性があります。

強力な権限を取得して企業内の様々な情報にアクセスできるようになった攻撃者は、暴露の脅迫を行うための情報を窃取して持ち出します。脅迫に値する重要な情報（機密情報や個人情報など）を集めるためにネットワーク内を探索し、取得した情報を一か所に集約した上でクラウド上または攻撃者のサーバにアップロードします。

データの窃取が完了すると、最後に標的組織へランサムウェアを展開して実行します。攻撃者はランサムウェアを確実に実行するために、展開前にセキュリティ対策ソフトを停止させることがあります。その上で、グループポリシー機能やPsExecを使ってランサムウェアを組織内ネットワークに展開・実行します。ファイルを暗号化した後は、対象の端末に身代金要求画面を表示させることで脅迫を行います。これまでのフェーズで攻撃を検知できなかった組織は、身代金要求画面を確認して初めてランサムウェア攻撃の被害を受けたことを認識することになります。

昨今のランサムウェアが標的型攻撃の手法を採用していることを踏まえると、被害に遭わないためには「攻撃者の初期侵入を防ぐ（未然防止策）」と「侵入後の被害発生を防ぐ（侵入を前提とした対策）」という両面での対策が必要になります。仮に侵入を許してしまった場合でも、侵入を前提とした対策を行っておく ことで、ランサムウェアを実行される前に攻撃を阻止できる場合があります。

・外部公開されたシステムの脆弱性に素早く対応する

昨今のランサムウェアでは、特にVPN機器の脆弱性や外部公開サーバの脆弱性が悪用されています。これに対応するためには、自組織で利用しているシステムやサービスを棚卸ししたうえで脆弱性情報を適切に収集する必要があります。そのうえで、深刻な脆弱性に対しては修正プログラムを迅速に適用し、それが難しい場合は緩和策の適用や IPS 機能（仮想パッチ）による一時的な保護などを実施するようにしてください。

・標的型攻撃メールを検知/ブロックする

メールを受信するシステムにて送信元アドレスの偽装、添付ファイルの拡張子やファイルタイプなどに着目して受信者への警告やフィルタリングを行うことで、標的型攻撃メール自体に気づくことができる場合があります。

・RDPの認証やアクセス範囲を適切に管理する

まず、RDP のような遠隔操作を可能にする機能が不用意に露出していないか確認し、これらを利用するサーバは必要最低限に絞り込みます。そのうえで RDP を利用する場合は強固なパスワードを設定する、多要素認証やアクセス制限など追加のセキュリティを実装する、などの対策を行うようにしてください。

・端末上の不審な挙動を監視する

不正プログラムについては、仮に侵入時に検出できなくても、エンドポイント上における挙動監視機能や機械学習型検索機能のようなプログラムの挙動に着目した対策機能による警告で気づける場合があります。また、OS のログ監視機能や EDR（Endpoint Detection and Response）製品を利用することで、不審な活動の疑いがある端末の調査を迅速かつ効率的に実施することができます。

・内部ネットワーク上の不審な活動を監視する

攻撃者は初期侵入に成功すると、侵入に成功した端末に指令を下すために攻撃者のサーバ（コマンド＆コントロールサーバ）と通信を行います。まず、端末が制御される段階においてはこの外部との C&C 通信を検知することが効果的です。また、情報探索や水平移動などのネットワーク内での「内部活動」を可視化できる対策も重要です。具体的には、組織内の複数の端末を横断するスキャン、不正ログイン、データ移動などの挙動が発生していないかネットワーク上で監視を行うべきです。

・内部ネットワーク上のシステムの脆弱性に素早く対応する

ランサムウェア攻撃においても、活動を拡大する手法として内部サーバ、特に AD サーバを侵害することが攻撃者の常套手段となっています。前出の個々のランサムウェア事例の中でもあったように、内部サーバへの攻撃には既知の脆弱性を利用した攻撃（N デイ攻撃）が見られています。このため、外部に公開されたサーバだけでなく、内部サーバ上の脆弱性に関しても迅速に対応するべきです。

・3-2-1ルールに従ってデータのバックアップを行う

少なくとも、データ暗号化に対してはバックアップによる復旧が有効です。3-2-1ルールは、まず3つ以上のバックアップ用コピーを作成し保存します。そして、2つの異なる種類のメディアに保存します（例：ハードディスクとUSBメモリ）。そのうちの１つは、他の2つとは異なる場所に保存します（例：オフィスとデータセンタ）。ただし、ネットワーク経由で全てのバックアップが暗号化されてしまうことを防ぐため、これらは同一のネットワーク内で管理してはいけません。

・最小権限の原則に従い、管理者権限を適切に管理する

攻撃者に管理者権限を取得されると、水平移動やランサムウェア展開など様々な行動が可能になります。ランサムウェア攻撃で利用される正規ツールやハッキングツール、通常の利用者には不要なアプリケーションなど、特定のプログラムの実行権限を最小限にすることで攻撃者による内部活動を阻害することができます。

・インシデント対応体制を構築する

昨今のランサムウェア攻撃は、前述のとおり標的型攻撃の手法で時間をかけて行う攻撃も多い傾向にあります。よって、不審な活動を迅速に検知した際に素早く対応できるインシデント体制構築は、実被害を抑制するという観点では特に重要です。「インシデント発生が疑われる不審な事象が確認された場合の対応や報告手順」「調査対象システムの保全方法（メモリダンプ・ディスクイメージの取得等）」「システム停止やネットワーク遮断など業務に直結する対処の判断方法」などは事前に決めておくべき項目です。特に、迅速な意思決定を下すためには組織の意思決定層を含めた体制作りが必要です。

トレンドマイクロでは、エンドポイントからネットワークやメールなど、様々なセキュリティレイヤに対する防御を提供することで多層防御を実現しています。また、これら複数のレイヤにまたがる情報を収集し、それらの相関付けすることによって攻撃の全体を可視化するXDR（eXtended Detection and Response）機能を提供します。これによって、ランサムウェアが実行される前の段階で攻撃活動を早期に発見します。詳しくはこちら