侵入後に即攻撃するランサムウェア「Ghost」に注意 - 70カ国以上で被害

侵害したシステムにウェブシェルを配置し、「Cobalt Strike」を悪用していた。「Windows Defender」を無効化するほか、資格情報の窃取、ネットワークの探索などを行う。

持続的なアクセスの確保は目的としておらず、数日間滞在することもあるものの潜伏期間が短いのが特徴。侵入後すぐに横展開し、初期侵入からランサムウェアの展開まで同日中に実行することも多いという。

窃取したデータを売却すると脅迫するが、情報流出の影響が大きい知的財産や個人情報などを大量に持ち出すケースはそれほど多くなく、一部のケースで見られるという。

米当局はアドバイザリで、攻撃において観測されたIPアドレスやメールアドレスといった「IoC（Indicators of Compromise）」情報を公開するとともに、被害の軽減策などを示して対応を呼びかけている。

米当局では今日からできる対策として、定期的にシステムのバックアップを取り、元のシステムとは別の場所に保存すること、リスクに応じて適切な期間内にOS、ソフトウェア、ファームウェアをアップデートすることを挙げた。

さらに感染端末から組織内に侵害が拡大しないよう、ネットワークを分割すること、フィッシングへの耐性がある多要素認証を導入することを求めている。

（Security NEXT - 2025/02/20 ）ツイート