「サイバー傭兵」の事例をイラン・露・中から

「サイバー傭兵」の事例をイラン・露・中から
更に「開発と攻撃者の分業化・専業化」の視点から
https://holyland.blog.ss-blog.jp/2020-08-03

 ※ 軍事関連情報に強い、マングースさんのサイトからだ…。

『防衛研究所が定期的に出す「ブリーフィングメモ」として、小野圭司・特別研究官による「サイバー傭兵の動向」との興味深い4ページの論考が掲載され、サイバー攻撃を支える「傭兵」とも考えられるハクティビスト(行動主義的なハッカー集団)の動向が紹介されています

ハクティビスト(行動主義的なハッカー集団)が生まれる背景には、まず、ソフトウェア開発が極めて知識集約的であることから、優秀なハッカーが個人や小集団で十分に世界をまたにかける競争力を獲得し得ること、また、サイバー人材は世界で400万人不足しているといわれるほど人材不足状態が続いており、自前で優秀な人材を確保することが難しく「外注化」が広がっており、サイバー攻撃でも同様の傾向が表れていることがあるようです

技量に優れハクティビストの主要プレーヤーとなるハッカー達は、権威や常識にとらわれず、組織の枠にも収まらないで行動する傾向が強く、サイバー攻撃で得た多額の報酬で豪華な生活を送っていることをSNS上でアピールする者もいるようですが、

一方で「アノニマス」に参加するハクティビストのように、社会的・政治的正義感から無償でサイバー攻撃に加わる特性も同時に備えるものも多く、このような者達がサイバー攻撃に参加する動機として、報酬以外の比重(自己顕示や達成感、正義感)が大きい場合が少なくなく、問題を複雑にしているようです

以下では、まず「サイバー傭兵」の事例をイラン・ロシア・中国の例で確認し、次に最近のサイバー攻撃の特徴をなしている「開発と攻撃者の分業化・専業化」の視点から、「傭兵」たちの生態に迫りたいと思います

サイバー傭兵の事例
●イランでは軍のサイバー軍設立(2006年)以前から、民間の技術者がハッカー集団(5-10名)を形成し米国のNASAや金融機関への侵入を行っていたが、イラン政府の依頼や指示でも活動するようになり、イラン情報機関への教育を担当したりもしていた。米政府も、イラン政府の依頼を受けたハッカー集団の攻撃を受けたことを公表しており、小組織が「競争力を有する」ことを証明した事例である

●2007年4月にエストニア政府機関サイトが攻撃を受けた事案では、ロシア下院議員が、自身の関係者がプーチン政権支持のサイバー技術者と共にDoS/DDoS攻撃を行ったことを認めており、ハクティビスト関与の事例である
●2008年の南オセチア事案でも、ロシア政府が犯罪者である民間人技術者が DoS/DDoS 攻撃に動員したと見られている。ロシアが犯罪者を非合法的な活動に従事させるのはソ連時代からの伝統で、例えば 2017 年には露保安庁(FSB)がサイバー犯罪者を使って、政府・報道・金融・交通関係企業者の個人情報をフィッシングしたことが明らかになっている

●中国でハッカー達は、国家に対して危険を及ばさない限り容認され、一部は国の支援を受けており、数万人から100 万人存在すると見られている。
●四川省のNCPH(Network Crack Program Hacker)に代表される大学生集団の中には、政府関係機関と密接な関係を有しているものがあり、例えば、2006 年の米国防省を含む米国政府機関への侵入は NCPH が行っている。これらハッカー集団は、中国では「サイバー民兵」や「情報専門民兵」と呼ばれており、2004 年の中国国防白書で初めてその存在を公式に認めている。
●中国は民間企業主体のサイバー民兵も組織しており、背景にはサイバー防衛・セキュリティ需要の急増がある。中国のサイバー防衛市場規模は 2011年には 28 億ドルだったものが、2016 年には 48 億、2021 年には 132億ドルを超えるものと予測されている。代表例の南昊科技公司は、ソフトウェア開発やスキャナなど電子機器製造企業だが、解放軍のサイバー民兵として、また解放軍のサイバー戦要員教育も請け負っている。

「開発と攻撃者の分業・専業化」から見る「傭兵」たちの今
●最近頻発しているランサムウェアのサイバー攻撃(身代金要求型)では、開発と攻撃者の分業化・専業化が指摘されている。かつてランサムウェアの開発者は自ら攻撃を行って収益を得ていたが、ファイル暗号化型ランサムウェアが台頭した 2013 年頃からRaaS(Ransomware-as-a-Service)と呼ばれるサイバー攻撃の請負・代行が確認されるようになった。
●RaaS では支払われた身代金を、開発者とサイバー攻撃請負・代行者の間で分配する。この仕組みにより、サイバー攻撃請負・代行者はランサムウェアを開発する手間を省いて簡便に金銭目当ての攻撃を行うことができ、逆に RaaS の提供者は自分の手を汚すことなく収益を上げることができる。収益の配分は開発者3-4割、攻撃者が6-7割と言われている

 ※ 世の中、X as a serviceになって行っているのは、知っていたが…。「X」にRansomwareまで入ることは、知らんかった…。
Emotet(エモテット)、EKANS(エカンズ)も、これか…。

●現在では、マルウェアに様々な形式の暗号化や圧縮を行って表面上のコードが異なる「亜種」を作成することで、サイバー防衛側による検出を回避することが常套化しており、また、サイバー攻撃請負・代行者の収益分配率を高くすることで、不特定のサイバー攻撃者を多数動員することが可能になっていると見られている。
●かつては、攻撃企画側は報酬用資金を事前に準備する必要があったが、資金力が無くてもソフトウェアの開発能力に優れる者は、ランサムウェアで身代金を獲ることができるので、それを前提にサイバー攻撃の請負・代行者(傭兵)を集めることも可能となる。このようにランサムウェアの普及で、サイバー傭兵の活用やサイバー攻撃代行に新しい傾向(元手は必ずしも必要ない)が生じたと言えよう。

●IT・サイバー技術者(ハッカー)は「権威や常識にとらわれず、組織の枠にも、はまらない」と述べたが、彼等は自由な情報交換と知識の共有のため非合理的な官僚主義を忌避し、政府や体制に対する批判勢力を形成することがある。その代表的なものの 1 つが、ウィキリークス(WikiLeaks)である
●この運動が攻撃代行的なサイバー傭兵と大きく異なるのは、経済的利益(報酬)の追求が動機ではない点にある。つまり彼等は報酬を得ることを目的としておらず、主に行政機関や大企業を対象に、不正や理不尽に関する情報入手し、ネット上で世に告発するという懲悪義賊的な社会貢献を目指していた。

●注目を集めている集団に、「アノニマス」がある。これは不特定多数のハッカーが、「抽象的ではあるが誰もが賛同しやすい大義」の下に即興的に集まったもので、主にDoS/DDoS 攻撃を実行する。その中核ハッカーの技量は相当高いと見なされるが、不特定多数のハッカーを即興的に集めることから、長期的・計画的な攻撃には向いていない。DoS/DDoS攻撃は攻撃手順も単純で、調整負担も軽くて済むので、即興的組織に適している

(※ セキュリティ意識の薄いヤツのPCは、みんな、この「DoS/DDoS攻撃」の「踏み台」にされる…。最近では、「ネットワーク・カメラ」等の「ネットワーク接続デバイス」も、「踏み台」になっている…。その踏み台の「一覧リスト」まで、出回って、取り引きされているらしい…。大体、自分のシステムの「挙動不審」を、タスクマネやリソース・モニターで調べないヤツが多すぎる…。酷い場合は、「出し方すら、知らない。」ことがある…。)

●付和雷同型のハクティビスト集団は、膨大な人数が徒党を組むことがある。この性質を有する彼等を自らの思う方向に利用した世論の誘導・世論工作も行われている
●欧米のハクティビストの多くは自由主義的な反体制の政治思想を共有しているが、中国の場合には、特に 2000 年前後に活発に活動した集団(「中国紅客連盟」や「中国鷹派連盟」等)は愛国主義的な傾向を持ち、中国政府もその限りにおいて、外国に対するサイバー攻撃を行う彼等を泳がせていた。その活動が中国の大衆から支持され、「英雄」として祭り上げられたことも、活動の動機として大きな比重を占めていた

●ハクティビスト集団は一般に、「不正・理不尽」を正すとの正義感を持っており、中国の集団も、外国は誤っており理不尽だと考えている。ただこの「不正・理不尽」の判断は各ハッカーが独自に行うので、集団の中でこの判断の差異が顕在化すると、集団そのものが瓦解する危険がある。実際にアノニマスも、内部では派閥争いが絶えず生じている。このため中国も習近平政権になってからは、ハクティビストへの監視・管理を強め始めたと言われている。
/////////////////////////////////////////////////////

基礎知識が薄い分野ですので、長々と引用してしまいました。サイバーと宇宙については、なじみの少ない方が多いと思うので、防衛研究所には発信の頻度を上げていただきたいものです
「ハクティビスト集団」は信用できるのでしょうか? 2重スパイ・3重スパイ的に動き回る者や、ブローカー的な輩が暗躍しないかと心配になります。

でもこのような人たちが、クリック一つで社会を混乱させることが可能な世界って何なんでしょうか?抑止の議論が可能なんでしょうか???

「ダークウェブ」との、闇の深い世界のお話でした

防衛研究所webサイト
http://www.nids.mod.go.jp/

サイバー関連の記事
「過去最大のサイバー演習を完全リモート環境で」→https://holyland.blog.ss-blog.jp/2020-06-22
「海兵隊サイバー隊が艦艇初展開」→https://holyland.blog.ss-blog.jp/2020-04-08
「サイバー停電に備えミニ原発開発」→https://holyland.blog.ss-blog.jp/2020-03-07
「米国務省のサイバー対策はデタラメ」→https://holyland.blog.ss-blog.jp/2020-01-27
「やっとサイバー部隊に職務規定が」→https://holyland.blog.ss-blog.jp/2020-01-13
「喫緊の脅威は中露からではない」→https://holyland.blog.ss-blog.jp/2019-11-16
「ハイブリッド情報戦に備えて」→https://holyland.blog.ss-blog.jp/2019-09-05
「ドキュメント誘導工作」を読む→https://holyland.blog.so-net.ne.jp/2019-07-22-1
「サイバー攻撃に即時ミサイル反撃」→https://holyland.blog.ss-blog.jp/2019-05-11-1
「NATOが選挙妨害サイバー演習」→https://holyland.blog.so-net.ne.jp/2019-04-13
「サイバーとISR部隊が統合して大統領選挙対策に」→https://holyland.blog.ss-blog.jp/2019-10-19
「ナカソネ初代司令官が語る」→https://holyland.blog.ss-blog.jp/2019-02-17
「大活躍整備員から転換サイバー戦士」→https://holyland.blog.so-net.ne.jp/2019-01-26-3
「サイバー戦略がもたらすもの」→https://holyland.blog.so-net.ne.jp/2018-11-02
「市販UAVの使用停止へ」→https://holyland.blog.so-net.ne.jp/2018-07-07-1
「サイバーコマンドの課題」→https://holyland.blog.so-net.ne.jp/2018-03-04
「サイバー時代の核兵器管理」→https://holyland.blog.so-net.ne.jp/2018-05-02

「人材集めの苦悩」→https://holyland.blog.so-net.ne.jp/2018-01-31
「米空軍ネットをハッカーがチェック」→http://holyland.blog.so-net.ne.jp/2017-12-23
「米国政府サイバー予算の9割は攻撃用!?」→http://holyland.blog.so-net.ne.jp/2017-03-31
「装備品のサイバー脆弱性に対処」→http://holyland.blog.so-net.ne.jp/2016-09-02

工場を“人質”に、ホンダ狙った「標的型」攻撃

https://xtech.nikkei.com/atcl/nxt/column/18/00001/04260/?P=2

『なぜ、今回の事例ではランサムウエアへの感染が工場の生産・出荷にまで影響を及ぼしたのか。報じられている情報によると、出荷前に製品の不具合の有無を確認する「完成車検査システム」と工場のコンピューターが接続できなくなったから、とされている。』
『今回のホンダの事例において、実際にどのような経路でマルウエアが社内ネットワークに侵入したかについては、公表されている情報からは分からない。一般に、以下の方法が考えられる。

・「フィッシング」と呼ばれる実在の組織や個人になりすました電子メールによるマルウエアの送り込み
・組織がインターネットに公開しているサーバーからの不正侵入
・代理店などの取引先を踏み台とした侵入
・USBドライブや制御システムの保守用端末などのモバイルデバイスを通じたマルウエアの送り込み
・生産設備のリモートメンテナンス用設備の悪用
・従業員による意図的な持ち込み(内部不正)
 報告されたランサムウエアには、ホンダ社内の情報系ネットワークに関する具体的な知識を活用している痕跡があった。このことから、実際に攻撃を発動する前に、何段階かの偵察的な侵入行為があった可能性もある。』
『〔工場は情報部門が「関わりたくない」領域〕
 製造業としては、事業に直結する生産プロセスの可用性・継続性を確保するためのセキュリティー対策を進めることが重要だ。そのためには、製造部門と情報部門が連携し、制御系ネットワークと情報系ネットワークを含めた全体の対策を検討・推進して必要がある。

 ところが、製造部門と情報部門の間で組織的あるいは文化的な相違があり、円滑なプロジェクト推進の妨げになっているケースが見られる。制御系ネットワークは、生産システムの付帯設備として製造部門が管理しており、従来は情報系ネットワークに接続していなかったこともあって、伝統的に情報部門の管轄外である場合が多い。情報部門の担当者にとって、内情が分からず、あまり関わりたくない領域である。一方、製造部門の担当者も、生産業務に必ずしも精通していない情報部門には口出しをしてほしくないと考えているものだ。

 このような歴史的経緯がある中、組織横断でセキュリティー対策を進めるには、トップレベルの経営幹部によるコミットメントや支援が何よりも重要となる。現場レベルでは、製造部門と情報部門の間での、価値観や文化、背景知識、言語などの相違がハードルとなり得る。こうした課題の解決に向けたアプローチの1つとして、両部門から少人数のコアチームを組成し、サイバーセキュリティー対策の対象となる資産の棚卸しや、その資産について事業/生産プロセス/品質管理といった観点からの重要度付け、解決すべき課題の洗い出しなどを実施することが効果的だ。1~2日のワークショップを開き、チームで一緒に議論し、一定の結論を出すとよい。共通の目標や課題を共有し、協働することで得られる共感や一体感が、以後のプロジェクトを進める上での土台になる。』

 ※ ヤレヤレな話しだ…。
 セキュリティーの強化、セキュリティー対策という「プライオリティー」の前では、「制御系ネットワーク」とか、「情報系ネットワーク」とかのへったくれも何も、無いだろうに…。
 そういう「セクト主義」的な振る舞いは、トップが一喝しないとな…。ホンダの社長の八郷さんは、経歴( https://ja.wikipedia.org/wiki/%E5%85%AB%E9%83%B7%E9%9A%86%E5%BC%98 )見ると、けっこうな猛者(もさ)なんだが…。やはり、なにかと遠慮があるのか…。あるいは、「ITとか、セキュリティーとか、ワシャよく分からん…。良きに計らえ。」というよくあるタイプなのか…。
 まあ、大企業になればなるほど、「セクト主義」「タコつぼ主義」が蔓延って(はびこって)、ニッチもサッチもになるんだろう…。

『具体的なサイバーセキュリティー対策としては、(1)見える化(Visibility)、(2)事前防御(Security Control)、(3)継続監視(Monitoring & Management)、という3つの観点で技術と管理プロセスを導入することが効果的だ。

 (1)の見える化は、あらゆるマネジメントの基本である。存在を把握していないものは管理できないし、セキュリティー対策も実施できない。

 制御系ネットワークでは、管理責任者が不明な保守用端末やリモートアクセスの出口など、いわゆる「シャドーIT」が存在する場合が多い。IT資産管理ツールやネットワーク分析ツールを活用することで、ネットワークの最新状況を効率的に一元管理することが可能になる。

 (2)の事前防御では、ファイアウオールやエンドポイントセキュリティーなどの一般的なセキュリティー対策技術を活用することが有効だ。制御系ネットワークに対しては、可用性や応答性能などの要件から情報系ネットワークと全く同じ対策を一様に導入することが難しいケースもある。

 だが、ネットワークの分割やアクセス制御など、生産オペレーションに影響を及ぼさない範囲で効果的な対策を導入することは可能である。例えば、ネットワークをセグメント化しておくことによって、サイバー攻撃の難度を高めるとともに、サイバー攻撃を受けた際の被害範囲を最小限に抑える効果も期待できる。

 (3)の継続監視も重要だ。防御側が外部とのあらゆる接点で完璧な事前対策を実施することは時間的にもコスト的にも実質的に不可能である。ホンダの事例のような標的型攻撃では、前述の通り事前に偵察的な行為がなされることがあり、継続監視によって偵察行動を察知できれば、被害が発生する前に対応できる可能性が高まる。』

ホンダを標的に開発か、ランサムウエア「EKANS」解析で見えた新たな脅威

ホンダを標的に開発か、ランサムウエア「EKANS」解析で見えた新たな脅威
(外薗 祐理子 日経クロステック/日経コンピュータ)
https://xtech.nikkei.com/atcl/nxt/column/18/00989/062400028/

『パソコンやサーバーのファイルを暗号化し、解除のための身代金を要求するランサムウエアが、特定の企業を狙う標的型に進化している。ホンダを襲ったとされるランサムウエアを解析した日本のセキュリティー技術者は工場を持つ製造業や医療機関などが狙われると警鐘を鳴らす。

サイバー攻撃でホンダの工場が停止
 ホンダは2020年6月8日にサイバー攻撃を受け、世界的な大規模システム障害を起こした。国内外の工場で生産や出荷が一時止まったほか、本社などで働く従業員のパソコンが使えなくなるなどオフィス系のネットワークシステムにも影響が出た。この影響で生産を停止した米オハイオ州の乗用車工場やブラジルの二輪工場は現地時間の6月11日までに復旧した。

 同社はサイバー攻撃を受けた事実は認めるものの、詳細については「セキュリティー上の観点から公表しない」(広報)とする。これに対し、セキュリティー専門家の間ではホンダはランサムウエアの感染被害に遭ったとする見方が強まっている。

 ランサムウエアとはマルウエア(不正で有害な動作を引き起こす意図で作成された悪意あるソフトウエアや悪質なコード)の一種だ。コンピューターに侵入してファイルを暗号化して使用不能にしたうえで「元に戻したければ身代金を払え」という内容の脅迫文を操作画面に表示する。ランサム(ransom)とは英語で「身代金」という意味だ。身代金の支払いにはビットコインなどの暗号資産(仮想通貨)が使われる。

半年間の感染台数は世界で9台
 ホンダへのサイバー攻撃に使われたランサムウエアは「EKANS(エカンズ)」または「SNAKE(スネーク)」と呼ばれる種類といわれる。EKANSは2019年12月に見つかった比較的新しいランサムウエアだ。

 トレンドマイクロによると同社の製品がEKANSを検出した端末の台数は2020年6月までに世界でわずか9台のみ。「EKANSは不特定多数へのばらまき型攻撃で使われるのではなく、特定の企業や組織を狙った標的型攻撃で使われる」と同社の岡本勝之セキュリティエバンジェリストはみる。

 実際にEKANSは、2020年5月の欧州最大級の民間病院運営会社であるドイツのFresenius(フレゼニウス)へのサイバー攻撃や、6月のイタリアのエネルギー大手Enel Group(エネルグループ)へのサイバー攻撃でも使われた。

 ホンダでシステム障害が起こった2020年6月8日、セキュリティー専門家の1人がマルウエア検索サイト「VirusTotal」にホンダのサイバー攻撃に関わったとされるランサムウエアの検体を登録した。この検体の内部構造を三井物産子会社の三井物産セキュアディレクション(MBSD)が解析した。

ホンダ内部のネットワークかを自己判断
 「ホンダ内部のネットワークでしか動作しないように作り込まれていた」――。こう話すのは解析に当たったMBSDの上級マルウェア解析技術者である吉川孝志氏だ。吉川氏は検体の5つの特徴を割り出した。

 第1の特徴は、ホンダの社内ネットワーク内部にいると確認できた場合のみ感染を広げるように作られている点だ。

 具体的には、「mds.honda.com」という外部に公表されていないホンダ社内ドメインの名前解決を試み、その結果が「170.108.71.15」という特定のIPアドレスであるかをチェックする。上記IPアドレス以外であれば何もしない。

特定のIPアドレスに名前解決ができる環境で動かすとEKANSは動作を継続する
(出所:三井物産セキュアディレクション)
 吉川氏によれば上記IPアドレスはホンダの米法人のものだという。「情報流出していたのかハッキングしたのかは分からないが、攻撃者はあらかじめホンダの社内ネットワーク情報を収集してから(マルウエアを)開発したと推測できる」(吉川氏)。

第2の特徴は、通信妨害にWindowsが備える正規のファイアウオールを使う点だ。今回の検体は名前解決できる環境にいると分かると、ファイルの暗号化に先立ってネットワーク通信を妨害する。これにより端末内部の多くのソフトが通信できなくなる。

 今回の検体はWindowsが備えるネットワーク設定ツールを使って正規のファイアウオールの設定を変える。「マルウエア自体の機能を使うと不正な挙動としてマルウエア対策ソフトに発見されやすくなる。正規のファイアウオールを使うのは検知から逃れるためと考えられる」(吉川氏)。暗号化が終わればファイアウオールの設定を戻し、通信に対する妨害を解く。

 さらに今回の検体はネットワーク通信を妨害した後に、暗号化の邪魔になりそうな様々なサービスを強制終了させる。吉川氏の解析によると、強制終了リストには主要なセキュリティーベンダーのマルウエア対策ソフトやバックアップソフト、データベースソフトのほかICS(産業制御システム)機器関連などもあったという。

 パソコンの異変に気づいたIT担当者が対処しにくくするため、リモートデスクトップ(RDP)などの遠隔操作ソフトも強制終了する。WordやExcelといったオフィス系ソフトをはじめ、「強制終了リストに記載されているプロセスだけでも1500ぐらいある」(吉川氏)。

 「膨大な強制終了リストを攻撃者が毎回作っているとは考えにくい。他のランサムウエアも同様のリストを持っており、おそらくアンダーグラウンドで共有されているのではないか」と吉川氏はみる。

ドメインコントローラーとそれ以外を見分ける
 第3の特徴は、暗号化に際してそのコンピューターがドメインコントローラーかそれ以外かを見分ける点だ。ドメインコントローラーとはあるネットワークドメインにおけるアカウントやアクセス権限などを一元的に管理するサーバーや、それを動かすコンピューターを指す。

 通常のランサムウエアはファイルを暗号化した後で脅迫文を送りつける。しかし今回の検体の場合、ドメインコントローラーではないコンピューターについてはシステムファイル以外の全ファイルを暗号化するだけで、脅迫文は送らない。暗号化されたファイルには暗号化前のファイル名やAESキーなどを含むフッターを追加し、さらにその末尾に「EKANS」という5文字を入れ込む。

検証用に用意したファイルをEKANSが暗号化した
(出所:三井物産セキュアディレクション)
 今回の検体が起動したコンピューターがドメインコントローラーの場合はファイルを暗号化せず、パブリックデスクトップなどに脅迫文のみを送る。脅迫文には「企業ネットワークを突破してファイルを暗号化した。復旧にはファイル復号ツールを購入する必要がある」旨のメッセージと連絡先メールアドレスを記載する。

なぜドメインコントローラーにのみ脅迫文を送るのか。吉川氏はその理由を「一般社員が脅迫文を見てもあまり意味がない。工場などは無人環境でシステムを運営するケースも多いため、効率を考慮してシステム管理者だけに送る設定にしたのだろう」と推測する。

 「今回の検体の一連の挙動はドメインコントローラーに侵入できる前提で開発されていることを示唆する。最近のランサムウエアは暗号化前に情報を抜き取るケースも多い。今回の検体がファイルを盗んだ形跡は現時点では確認していないが、ホンダが内部情報を抜き取られた可能性はゼロではない」(吉川氏)。

過去ホンダを襲った「WannaCry」と異なる特徴
 第4の特徴は、米Google(グーグル)のGo言語で開発されている点だ。Go言語であればWindows用に開発していてもMac用やLinux用に転用が容易だ。このメリットは攻撃者にとっても当てはまる。

 さらにGo言語はC言語などに比べてコンピューターが自動的にコードを記述する割合が高く、人間が記述するコードが少ない。そのため「解析者からするとどのコードを攻撃者が意図して書いたのかが分かりにくい」(同)。この点も攻撃者に有利に働く。

 第5の特徴は、自身を複製して他のシステムに拡散する「ワーム」機能がないという点だ。2017年にホンダや日立製作所など世界中の企業を襲った「WannaCry(ワナクライ)」や「NotPetya(ノットペチャ)」と呼ばれるランサムウエアはワーム機能を備えていたために被害が急拡大したとされる。

 「ワーム機能を付けると攻撃者が意図する範囲を越えて攻撃が拡散する可能性がある。攻撃者はドメインコントローラーに侵入できる前提だったため、自分の想定以上に被害を広める必要はないと判断したのではないか」。こう吉川氏はみる。

 さらに吉川氏は「近年のランサムウエアはばらまき型より、今回の検体のように攻撃対象の企業に挙動を合わせて開発する傾向が高くなっている」と指摘する。とりわけシステム停止が業務に甚大な損害をもたらすため、身代金の支払いが期待できる製造業や医療機関、個人情報を扱う法律事務所などが標的になっているという。

 ばらまき型はマルウエアをセキュリティー企業などに収集され対策されやすいうえ、個人のパソコンに感染する場合もある。これに対し、多額の身代金を払ってでもシステム停止を回避したい業種や企業に的を絞ってランサムウエアを開発するほうが対策されにくく身代金をせしめやすい――。今回の検体の分析からはこうした攻撃者の動向が読み取れる。

テレワーク常態化に合わせた対策が急務に
 ホンダにEKANSが侵入したのか、侵入したとすればどういう経路だったのかは明らかになってはいない。吉川氏は「一般的に標的型ランサムウエアはRDPやVPN(仮想私設網)などを入り口にするケースが多い」と話す。

 テレワークがニューノーマル(新常態)として広まるなか、企業はRDPなどのサービスが不必要に外部に公開されていないかを確認したり、アクセス制限を再確認したりといった対策が欠かせない。さらにネットワークセグメントの細分化や重要データの定期的なバックアップ、バックアップデータの隔離などの対策も追加する必要があるだろう。』

 ※ 「エモテット(Emotet)」もヒドかったが、この「EKANS(エカンズ)」というのも、ヒデーな…。
 世界中がリアル・ウイルスでてんやわんやしている間にも、「コンピュータ・ウイルス」の作成者たちは、黙々と仕事に勤しんでいたわけだ…。みんなが「巣ごもり」「自主隔離」していたんで、却って怪しまれなくて、好都合だったかもな…。
 大体、上記の記述にある「内部者情報」も、エモテット(Emotet)の攻撃で抜いたという可能性は無いのか…。
 エモテット(Emotet)+EKANS(エカンズ)の「合わせ技」とか、ウンザリな話しだ…。

 オレのところにも、「Amazon account-update」を名乗る「標的メール」が、1日平均2個は送付されて来るぞ…。「あなたのアカウントの更新ができませんでした。つきましては、ここにアクセスして、対処して下さい。」というものだ…。
 前は、「送信者」の名義が明らかに怪しいものだったので、すぐに分かるような代物だったが、最近は「巧妙化」して、htmlメールの「ソース」を表示して、調べないと「分からない」ように進化している…。
 それでも、「形態」がいつも似たようなものなんで、それで分かる…。何かの「ひな形」を使っているんだろう…。
 しかし、それでも「標的メール」フォルダに移動したりしないとならないので、オレの人生は削られる…。ウンザリな話しだ…。

 Win7までは、ジャストシステムのShurikenというメーラーを使っていた…。これは、メールの自動分類機能が優れていて、愛用していた…。だけど、Win10になってから、うまく動作しなくなった…。それで、泣く泣くThunderbirdに替えた…。これだと、タグとマークは付けられるが、Shurikenのような自動分類機能は見あたら無い…。それで、大分手間が増大してしまった…。
 と思っていたが、今ネットで調べると、「フィルターの設定」というものがあって、これをうまいこと設定すると、自動分類できそうだ…。ただ、「本物の」アマゾン関係のメールも「標的メール」に分類されそうで、そこをクリアできるのか…。まあ、やってみよう…。
 セキュリティーの向上を図ると、「不便さ」は増加する…、という良い例だ…。