暗号化型ランサムウェア「Locky」ファミリは、2016年2月に確認されて以来、注目度の高いランサムウェアの1つとなっています。ブラジルのアンダーグラウンドで販売されたり、様々なエクスプロイトキットにより拡散されたりしてきました。スクリプトファイルといったファイルを利用することで知られています。今回、トレンドマイクロは、DLLファイルを利用する「Locky」を新たに確認しました。今回弊社が確認した「Locky」の亜種「RANSOM_LOCKY.F116HM」は、何の変哲もないメッセージの書かれたメール(図1参照)を送信する大規模なスパムメール送信活動で拡散されており、一見、従来の「Locky」と同様の手法が採用されているように見えます。実際には、幾つかの変更が確認されました。ファイル(拡張子「.JS」)には、「Locky」の特徴とも言える高度な難読化が確認できます。コードが復号されると、以下を実行することを確認しています。暗号化された「Locky」が組み込まれていた。1つ選択し、「Locky」をダウンロード。ダウンロードを試みる。Generator、PRNG)」を用いてダウンロードしたファイルを復号し、DLLファイル(拡張子「.dll」)として保存する。脅迫状が表示され、ユーザのファイルが暗号化される。stream(鍵ストリーム)」と呼ばれる擬似乱数系列を生成しています。初期設定値として「seed(シード)」と呼ばれる初期値が必要となりますが、このシードは秘密鍵のような役割を果たします。利用することにより、ストリーム暗号をランダムなものにすることができます。同一のシードを利用した場合には、同一の鍵ストリームが生成されることになります。コードでハードコードされていました。借用することにしたようです。ファイルに利用していました。スクリプト版の一部を、ほぼそのままコピーしたものでした。活動については、前回確認された「Locky」の亜種とほとんど差異はありません。図6:暗号化型ランサムウェア「Locky」の脅迫状DLLファイルの導入は、最新のセキュリティ対策製品が備える挙動監視機能による検出の回避を意図したものと推察できます。DLLファイルが実行されることにより、新規プロセスが開始されないため、検出が困難になります。「CrypMIC」や「CryptXXX」などの他の暗号化型ランサムウェアでもこの手法が採用されていますが、「Locky」で確認されたのは今回が初めてです。暗号化の利用で、この暗号化型ランサムウェアが自身を隠ぺいする機能はさらに強化されています。ファイルにあり、難読化されています。パラメータがなければ、暗号化された「Locky」のファイルは復号されず、論理上不正なファイルは検出されないことになります。個人ユーザおよび企業は、これらの脅威によるリスク軽減のために、多層的かつ段階的な対策をとることができます。Security」は、ランサムウェアを検出し、侵入を防ぎます。Engine、ATSE)」などによりランサムウェア脅威を警告します。ビジネスセキュリティサービス」は、「FRS」技術によりウイルス検出を行っています。同時に、これらのエンドポイント製品では挙動監視機能(不正変更監視機能)の強化により、侵入時点で検出未対応のランサムウェアであってもその不正活動を検知してブロックできます。ブロックすることによって、強固な保護を提供します。「UPATRE」によりダウンロードされる「Gameover」、ランダムなヘッダを利用。