McAfeeシェアツイートする一覧はじめに今年もあとわずかですが、再びランサムウェアの年と言えそうです。ランサムウェアを使用した悪名高い攻撃が行なわれ、新しいファミリーがほぼ毎週検出されています。マカフィーATRチームは今回、いくつかの特別な特徴を持つ新しいランサムウェアファミリーを分析しました。LooCipherは、開発の初期段階にある新しい攻撃者が、ランサムウェア業界のほかのプレイヤーと同じ配布手法をどのように使用したかを表しています。身代金メモの設計は、ユーザーに救済金の支払いを強要するのに非常に効果的な設計であったかつてのCerberランサムウェアを思い起こさせます。Ransom」プロジェクトのようなイニシアチブのおかげで、参画しているパートナーが、LooCipherによって暗号化されたファイルを復元するために有効な復号化プログラムをすでに提供しています。私たちが管理するデータに基づくと、LooCipher感染が検出されたのは、次の地域です。私たちが実行した分析に基づくと、このランサムウェアはDOCファイルを介して配信されました。このMalDocで使用されるコンテンツと技術は、Emotetといったマルウェアの拡散に使用されるほかのdocファイルに比べて非常に単純です。特別なソーシャルエンジニアリングの技術は適用されませんでした。作成者は、「マクロを有効にする」という単純なメッセージのみを追加しました。そのファイルは、開くとリモートサーバーからLooCipherをダウンロードするようになっています。AutoOpen関数は、ドキュメント内のマクロとして見られます。LooCipherは、事前定義された文字セットを使用して暗号化ルーチンを開始し、16バイトのブロックを作成してローカルシステム時間を使用します。ランサムウェアは、AES-ECB暗号化アルゴリズムをプロセスで使用し、キーはすべてのファイルで同じなので、ファイルの回復プロセスが容易になります。ほかのランサムウェアファミリーは、感染中に使用されたキーをブルートフォースアタックが発見する可能性を避けるために、ファイルごとに異なるキーを使用します。暗号化プロセスでは、ランサムウェアはシステム内の3つの特別なフォルダーを回避して、機能を損なわないようにします。キーファイルとフォルダーの暗号化は、私たちがLockerGogaの分析で強調した間違いのひとつです。そのランサムウェアはシステムの機能を完全に破壊していました。LockerGogaバイナリファイルを含むすべてのシステムを暗号化していたバイナリも見つかりました。LooCipherがシステム内で検索および暗号化する拡張機能に関して、リストはバイナリ内でハードコーディングされています。Windowsシステムには存在しない“.dmg.”yのような拡張機能を、LooCipherがどうやって検索するのかがわかると非常に興味深いです。これは、作成者が拡張リストを見つけるためにサイトをコーディングしようとしているだけであることを示唆しています。分析中にPDBリファレンスが見つかりました。\\Users\\Usuario\\Documents\\Proyectos\\sher.lock\\Debug\\LooCipher.pdbシステムは英語で構成されているにもかかわらず、ユーザーはスペイン語の名前のフォルダーを使用しているかのように、リファレンスにスペイン語の単語が含まれていることがわかったのは、興味深い点です。このようになっているのか、私たちには今のところわかりませんが好奇心がそそられます。BTC支払いは、被害者からお金を得るためにLooCipher作成者が選択した方法です。そのため、ファイルの暗号化の最後に、ランサムウェアはユーザーに救済メモを表示します。LooCipher復号プログラムは、特殊なカウントダウンとともにシステムにポップアップ表示されます。身代金メモでは、LooCipherは”BTCアドレスはユーザー向けに特別に生成されている”と言っていますが、それは正しくありません。私たちが見たすべてのBTCアドレスは、バイナリにハードコーディングされています。これは、このランサムウェアのもうひとつの特別な特徴です。通常、このワークフローは作成者に連絡するためのメールアドレスを提供して、被害者に指示を与えられるようにしています。少なくとも支払いのためにBTCアドレスを提供しています(すべての被害者に提供される一意のBTCアドレスがない場合)、これは、RaaSと単発のサイバー攻撃との主な違いです。私たちが所有しているバイナリに静的分析を適用すると、私たちが見つけたインザワイルドの状況にあるもののほとんどに、BTCアドレスの同じバンドルが含まれています。LooCipherに関して見つかったBTCアドレスはいずれもトランザクションを示していなかったため、私たちが分析したバイナリで作成者はサイバー攻撃を現金化しなかったと考えています。LooCipherとネットワークトラフィック暗号化プロセスでは、LooCipherはC2サーバーに接続し、被害者に関する情報を送信します。サーバーに送られるデータは以下になります。ここで、ネットワークトラフィックのコピーは、ユーザーが使用された暗号化キーを知るのに役立ちます。LooCipherによって実装される復号化フォールバックメカニズムファイルを暗号化した後で、システムに表示されるLooCipherのウィンドウを閉じた場合でも、被害者が指示と復号プログラムに再びアクセスできるようにLooCipherの作成者はフォールバックメカニズムを提供します。メカニズムは、MegaプラットフォームにアップロードされたLooCipherバイナリを確認します。支払いを済ませた後、ユーザーがBTCアドレスの取得または、ファイルの復号化を望む場合、このバイナリをダウンロードして使用できます。ファイルが事前にLooCipherによって暗号化されていた場合、再びランサムウェアの作成者によって暗号化されることはありません。Ransom」プロジェクトの創設者および貢献者のうちの一社でもあります。私たちの仲間のステークホルダーの1人が、LooCipherによって暗号化されたすべてのファイルの復号プログラムを作成しました。そのため、もしもあなたがLooCipherに感染していても、ファイルを取り戻すことができます。結論LooCipherの作成者は、Ryuk、LockerGoga、REVilなどほかのファミリーと比べると、洗練された攻撃者ではありません。彼らは、感染と簡単なマクロを使用したOfficeファイルを組み合わせて、ランサムウェアを広めようとしました。ランサムウェアが機能する方法を変更しない限り、作成者が現場に戻ることは不可能でしょう。マカフィーATRチームは、この件に関わらず、ランサムウェアの支払い要求を受けた場合は拒否するよう助言し、代わりに以下のことを推奨しています。暗号化されたファイルのコピーを保存しましょう。復号プログラムがリリースされる可能性があります。社内で強固なバックアップワークフローを持つようにしましょう。サイバーセキュリティーの観点からのベストプラクティスを実装しましょう。Ruleインザワイルドの状況で観察されたほとんどすべてのサンプルを検出するために、YARAルールをアップロードしました。スマホお気に入り一覧マイページ。