08:0010月14日、ウクライナ安全保障局は、notPetyaに類似した新たな大規模サイバー攻撃が10月13日から17日の間に発生する可能性があると警告を発していた。この攻撃が現実問題となったのは、予測から遅れること約1週間後の10月24日。この日、警告されたとおりのランサムウェア攻撃がヨーロッパで発生した。はじめとする多くの重要インフラが影響を受け、システムが停止状態に追い込まれた。ウクライナのほかには、トルコ、ロシア、ブルガリアなどでも被害が発生している。ロシアの大手報道機関Interfax通信が含まれ、このほかには、金融、ヘルスケア、流通、ソフトウェア開発などの企業や組織が被害を受けた。BTC(最大280ドル相当)を支払うように要求。40時間経過後は、要求額が値上がりするものと見られるが、上限額はまだ確認されていない。Rabbitは、偽のFlashインストーラを装って感染を広げている。報告によると、ロシアの正規ニュース・サイトでポップアップ・ウィンドウが表示され、そこから攻撃サイトに誘導されて、ランサムウェアのドロッパー(実行可能ファイル)がダウンロードされるというケースがあるようだ。Rabbitは、感染先のドライブを暗号化する際に、オープンソースのソフトウェアであるDiskCryptorを使用。ユーザに表示されるロック画面は、先ごろ広範囲に感染を広げたPetyaやNotPetyaとほぼ同じである。RabbitとPetya、NotPetyaが似ているのはこの画面だけで、そのほかの点は完全にオリジナルとなっている。Rabbitは、感染先ごとに一意の鍵を作成する。ME.txtファイルに記載される。このファイルには、仮想回線を複数経由することで匿名化するシステムであるTor上にホストされた支払い用サイトのアドレスも記載される。支払い用のサイトは、文字やその色が刻々と変化する派手なデザインとなっている。BTCを入金するように要求される。Rabbitランサムウェア攻撃は事前に防御できた可能性があるのだ。ランサムウェアや他のマルウェアは決して新しい攻撃ベクターではない。したランサムウェア対策に参考となるビデオやドキュメントはこちらのリンクを参照いただきたい。Rabbitについてのビデオはこちらで、次なるサイバー攻撃から防御するためのホワイトペーパーはこちらで紹介しているので、あわせて参考にしてほしい。以下のチェック・ポイント製品は、この新型ランサムウェアに対応している。Rabbitはまず、「rhaegal」という名称のスケジュール・タスクを削除する。rhaegal続いて、まったく同じ名称のスケジュール・タスクを作成。exit"このタスクは、システムの起動後にペイロードを実行するという処理を行う。Rabbitはさらに、システムを再起動するスケジュール・タスク「drogon」を作成。hh:mm:ssこれにより、コンピュータの再起動後に暗号化プロセスが開始される。Rabbitは、マスター・ブート・レコード(MBR)およびファイルの暗号化と復号化の両方を実行可能だ。Rabbitは、次の拡張子のファイルを暗号化する。.zipディスクの暗号化には、オープンソースのパーティション暗号化ツールDiskCryptor(https://github.com/smartinm/diskcryptor)が使用される。この段階で、MBRと第2ステージのブートローダーの両方が暗号化される。DiskCryptorドライバとのすべての相互作用は、次のデバイスを開いて行われる。\.\dcrypt暗号化プロセスを開始する際には、次のIOCTLがこのデバイスに送られる。DC_CTL_ENCRYPT_STARTファイルの暗号化に使用されるパスワードは2種類あるようだという。1つは、システムの起動時に入力するパスワード、もう1つは、前述した拡張子のファイルを復号化するためのパスワードである。ファイルの復号化は、システムの起動時に、ディスク上のすべての暗号化ファイルを列挙しながら実行される。Corporation。