Windowsの「BitLocker」を悪用するランサムウェア - ドライブ名に連絡先

攻撃者は、非ブートパーティションを縮小してあらたにブートパーティションを作成。「BitLocker」の暗号化キーを攻撃者が管理するサーバーに送信していた。

「BitLocker」には「回復オプション」が用意されているが、攻撃者は被害者によるファイルの復元を防ぐため「回復オプション」を削除した上で再起動。

暗号化したデータへアクセスできないようにするとともに、連絡先となる攻撃者のメールアドレスをドライブのラベルに設定していた。

被害を抑える対策としては、ユーザー権限を適切に管理し、暗号化機能の不正な有効化やレジストリキーの変更を防止すること挙げた。

またセキュリティ製品などで「BitLocker」を悪用する動きをブロックすること、ネットワークトラフィックや「VBScript」「PowerShell」の実行イベントを監視、ログを外部に保存することなども挙げている。

（Security NEXT - 2024/05/30 ）ツイート