Talos平成29年6月27日、ウクライナの情報機関よりランサムウェア「Petyaの亜種」」攻撃による被害が多発しているというSOSを受け取った「Talos」は、平成29年7月5日、Webサイトにて同チームが属するセキュリティ機関Ciscoと協力し、同ランサムウェアについて調査を行ったことを公表しました。同調査では、ランサムウェアを装った破壊的なペイロードが「※M.E.Docソフトウェア」の中に埋め込まれていることが判明しました。攻撃者は、盗んだ資格情報を用いてM.E.Docを、プロキシ接続と攻撃者が操作するサーバの操作が可能としていたとのことで、これより、当該ランサムウェアによる攻撃が破壊的なものであると同団体は見解を述べています。これまでにウクライナ内では、既に2,000以上の企業が当該ランサムウェアによる被害を受けているとのことです。※M.E.Docは、ウクライナにて多くの企業が利用する会計ソフトウェアです。先日Kaspersky社が言及したように、当該ランサムウェアにはワイパー系の「BlackEnergy」の要素が含まれています。調査の初期段階にて、バックドアの1つであるWebShellが発見され、タイムスタンプは平成29年5月21日14時45分であったとのことです。POST変数に設定すると復号化が可能になります。引用元:http://blog.talosintelligence.com/2017/07/the-medoc-connection.html?m=1上の画像は、ログ等のフォレンジックに必要な情報が抽出されたものです。