ランサムウェア「Ryuk」にワーム化した新亜種
ランサムウェア「Ryuk」にあらたな亜種が確認された。ネットワーク内で自己拡散する機能を備えており、セキュリティ機関では警戒を強めている。
フランスの国家情報システムセキュリティ庁(ANSSI)が報告書で明らかにしたもの。2021年初頭に同庁がインシデント対応した際に発見した。不特定のオープンソースソフトにバックドアとして仕込まれ、リコンパイルされて拡散していると見られる。
同ランサムウェアは2019年10月以降、「Wake-on-LAN」パケットにより電源がオフになっている端末を起動して攻撃を展開する特徴が見られたが、今回報告されたあらたな亜種では、さらにWindowsドメイン内で自己複製する機能が追加されていた。
感染端末より「ARPキャッシュ」を取得してローカルネットワークのIPアドレスをリストアップ。RPCによりアクセスが可能なマシンに自己複製し、リモートから実行する。
マルウェアの感染拡大には、ドメインの特権アカウントが悪用されるが、パスワードを変更しても「Kerberosチケット」が有効な限り感染を継続。「Mutex」など用いて重複感染を防ぐ機能も備えておらず、同じ端末が何度も繰り返して感染し、復旧を困難にするおそれがあるという。
(Security NEXT - 2021/03/05 )
ツイート
PR
関連記事
米当局、悪用脆弱性に6件追加 - SharePoint関連はランサムも悪用
NASがランサム被害、脅迫メッセージを確認 - 福祉サービスのNPO法人
ランサム被害、ネットワーク機器の脆弱性に起因 - トーモク
中国複数グループが「ToolShell」攻撃を展開 - 攻撃拡大に懸念
SonicWall「SMA 100」にバックドア、ゼロデイ攻撃か - 侵害調査の実施を
ランサム被害で顧客情報流出の可能性 - トキハグループ
約1年前にランサム被害、VPNで海外拠点から国内にも - ユニデンHD
警察庁、ランサムウェア「Phobos」「8Base」の復号ツール開発
学生や教職員のアカウント情報が暗号化被害 - 東海大
ランサム攻撃で個人情報流出の可能性 - 三菱ふそう販売会社