Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

ランサムウェア「Ryuk」にワーム化した新亜種

ランサムウェア「Ryuk」にあらたな亜種が確認された。ネットワーク内で自己拡散する機能を備えており、セキュリティ機関では警戒を強めている。

フランスの国家情報システムセキュリティ庁(ANSSI)が報告書で明らかにしたもの。2021年初頭に同庁がインシデント対応した際に発見した。不特定のオープンソースソフトにバックドアとして仕込まれ、リコンパイルされて拡散していると見られる。

同ランサムウェアは2019年10月以降、「Wake-on-LAN」パケットにより電源がオフになっている端末を起動して攻撃を展開する特徴が見られたが、今回報告されたあらたな亜種では、さらにWindowsドメイン内で自己複製する機能が追加されていた。

感染端末より「ARPキャッシュ」を取得してローカルネットワークのIPアドレスをリストアップ。RPCによりアクセスが可能なマシンに自己複製し、リモートから実行する。

マルウェアの感染拡大には、ドメインの特権アカウントが悪用されるが、パスワードを変更しても「Kerberosチケット」が有効な限り感染を継続。「Mutex」など用いて重複感染を防ぐ機能も備えておらず、同じ端末が何度も繰り返して感染し、復旧を困難にするおそれがあるという。

(Security NEXT - 2021/03/05 ) このエントリーをはてなブックマークに追加

PR

関連記事

FRONTEO米子会社にサイバー攻撃 - DC上のデータがランサムウェアの標的に
ランサムウェア「Yanluowang」の復号ツールを提供 - カスペルスキー
政府、大型連休における対策徹底呼びかけ
まもなくゴールデンウィーク、セキュリティ体制の確認を
ランサム攻撃に2割が支払い、4割は復旧できず
ランサムウェア身代金、平均支払額が前年比8割増
2021年のランサム被害報告は146件 - 目立つVPN経由の侵入
子会社リモート接続機器脆弱性が標的に、横展開からランサム - 小島プレス工業
月桂冠がランサム被害、子会社にも影響 - 生産には影響なし
重要インフラ事業者に情報共有求める、鍵となる10要素も - CISA