ラボの共同プロジェクト「NoMoreRansom」(英文)から、Wildfire亜種のランサムウェア被害者のための解読ツール(英文)を発表します。オランダ警察と欧州サイバー犯罪センター(英文)の協力の結果、皆さまにこのツールをご利用いただけるようになりました。強力な官民連携で、犯罪インフラの掌握と解読ツールの開発に成功したのです。Wildfire亜種のランサムウェアに感染すると以下のメッセージが表示され、被害者はこの亜種に感染したことに気づきます。ランサムウェアからのメッセージWildfireの被害者は、オランダとベルギーに集中しています。BTC(ビットコイン)の身代金を要求していますが、実際に大半の被害者が支払った金額は0.5~0.6BTCです。攻撃者が交渉を受け入れる場合もあるようです。Wildfireは、主に運送会社からのオランダ語のスパムメールを介し、オランダ語話者を標的として広がりました。再配達依頼方法メールから、添付されている「特別フォーム」に記入することで被害に遭いました。実際には、このフォームは被害者をランサムウェアに感染させる難読化されたドロッパーだったのです。典型的なスパムメールは以下のスクリーンショットのような内容です。オランダ語話者を標的としたスパムメール。上記のメールで使われているtransportbedrijfpeters.nlというドメインは、5月17日、アラブ首長国連邦の私書箱会社で初めて確認されました。スパムメールの発信日は5月18日でした。ここに違法性はありませんが、多くの疑惑が浮かび上がります。弊社が調査したすべてのWildfireスパムメールで使用されているドメインは、Wildfire攻撃が最も集中していた今年5月末から8月の間に登録されていました。オランダに実在する企業の住所が記載されているということも、このスパムメールで特筆すべき点です。Wildfireの攻撃者が、信頼性が高く非常に具体的なスパムメールを多大な労力を注いで作っていることは明らかです。このような点から、オランダ語話者集団の関与が疑われます。Wildfireに感染すると、先ほどの身代金要求メッセージが表示されます。支払いを行うには、.RUまたは.SUのドメインに接続しなければなりません。これらのドメインがプロキシの役目を果たし、被害者はダークウェブでホストされるコントロールサーバーに接続されるのです。攻撃者は、検索ボットの検知を逃れて、このサイトを一般的な検索エンジンのように見せ、可能な限り秘密裏に自分たちのサーバーにアクセスさせるためにこのような処置を取っていました。官民連携によって、Wildfireのコントロールサーバーパネルを見ることができました。パネルには、以下のようなキャンペーン詳細が記載されています。Wildfireキャンペーンの概要この概要から、過去31日間で、この攻撃は5,309台のシステムをWildfireに感染させ、約136BTC(70,332ユーロ)の総収入を得ていることが分かりました。ひと月の「儲け」としては悪くありません。「クライアント」ページでは、暗号化されたファイルの数、攻撃者のBTCアドレス、暗号化されたファイル、国などの詳細を確認できます。支払ステータス1a5*****BE1J***************0.61167302aa*****NL1F***************0.5146903128003fd*****BE1H***************0.6685950408*****NLZC***************0.514690797320505****NLGH**************0.514696058760被害者のファイルデータの概要RIDという表に記入されている「aff_001」という値から、アフィリエイトプログラムの存在が疑われます。「aff_001」は「Affiliate_001」のことかもしれません。Service)である根拠をいくつか確認しました。サーバーのindex.phpページには、ロシア語のコメントが含まれています。コントロールサーバー上のロシア語コメント。таймер」というキリル文字は「修正タイマー」を意味し、ランサムウェアのタイマー機能を指しています。ソースコードの設定ファイルに除外国リストが含まれていることもその根拠の1つです。特定国では、Wildfireは被害者を暗号化しないのです。東ヨーロッパの除外国このリストは、我々の敵が東ヨーロッパの集団であると考える大きな根拠です。驚くべきことではなく、CryptoWallなど、他の多くのランサムウェアの亜種でも同様の挙動を確認しています。Wildfireが本当にRaaSであったとしても驚きません。このマルウェアは、Zyklonという亜種のランサムウェアにとてもよく似ています。コントロールサーバー上で見つかったソースコードで使われる言語とは異なり、スパムメールによる感染の標的はオランダとベルギーに大きく限定されているということも疑惑の根拠になるかもしれません。同じ攻撃者集団から送られてくるにしては、言語があまりにも違います。多くの犯罪者が簡単に使えるランサムウェアで大規模な恐喝行為が発生しているというのは気にかかります。この先、Wildfireの被害者が犯罪者にお金を支払うかデータを犠牲にするという難しい選択を迫られることはなくなりました。この解読ツール(英文)を使えるようになったことで、被害者はお金を支払うことなくデータを取り戻せるようになりました。初回ツールには、1,600個のWildfireキーが含まれています。将来的には、さらに多くのキーが追加されます。これもNoMoreRansom官民連携の成果なのです。~クラウドの安全性の状況と実用的ガイダンスマカフィーでは、1,400人のIT担当者に年次アンケートを実施し、クラウド採用状況やセキュリティについて調査しました。調査の結果、クラウドの採用とリスク管理への投資を増やしている組織がある一方で、クラウドの採用に慎重なアプローチをしている組織が多いことがわかりました。本調査では、クラウドサービスの利用状況を分類し、短期投資の確認、変化速度の予測、重要なプライバシーおよびセキュリティ上の障害物への対応方法の概要を示しています。本レポートでは、クラウドの現状把握と今後の方向性、クラウド対応の課題やポイントを理解することができます。脅威情報ネットの安全セキュリティ。