編集部からのお知らせ
「ZDNet Japan Summit」参加登録受付中! 
新着記事集:「負荷分散」
ランサムウェア

ランサムウェア「WannaCry」の感染でバックドアも--新たな脅威の温床に

ZDNet Japan Staff

2017-05-18 08:41

 セキュリティベンダーの解析から、ランサムウェア「WannaCry」(別名:WannaCrypt、WannaCryptor、Wcryなど)は、感染先を広げる際にバックドアの「DOUBLEPULSAR」を仕掛けることが判明した。感染端末が新たなサイバー攻撃などを受ける恐れも浮上している。

 シスコシステムズのセキュリティ研究部門「Talos」やマクニカネットワークスが5月17日までに公開したWannaCryの解析結果によると、WannaCryは大きくファイルの暗号化や身代金の要求・支払いに関わる「ランサムウェア」と、感染やその拡大に関わる「ワーム」の2つの部分で構成される。


WannaCryの概要(出典:マクニカネットワークス)

 感染先を広げる「ワーム」の部分では、まず感染元端末からネットワーク越しにポート445/TCPを通じて、「MS17-010」で修正されたSMB v1の脆弱性が残る端末を探索する。脆弱性が残る端末が見つかると、SMBのセッションを確立し、感染元端末から脆弱性が残る端末に対してBase64でエンコードされたWannaCryが送り込まれる。この際、脆弱性が残る端末に対して攻撃ツール「EternalBlue」も実行され、MS17-010の脆弱性を突いて、DOUBLEPULSARが仕掛けられてしまう。

 つまり攻撃された端末は、WannaCryだけでなくDOUBLEPULSARにも感染することになり、WannaCryの「身代金要求」の被害に遭う一方で、DOUBLEPULSAR経由によって別のマルウェアに感染させられたり、遠隔操作などをされてしまったりする恐れがある。

 マクニカネットワークスの解析では、DOUBLEPULSARはカーネルで動作している「lanmanserver」サービスを悪用してメモリ上で実行されることが判明した。そのプロセスを停止させることが難しく、さらには端末が再起動すると消失してしまうため、その後に感染の有無を追跡するのが困難を極める。このため攻撃者は、端末上でDOUBLEPULSARが動作している間に別のバックドアなどを仕掛け、DOUBLEPULSARが消失しても継続的に端末へ侵入できる方法を講じていることも想定される。

 同社は、MS17-010の脆弱性を突かれてWannaCryに感染した端末では、WannaCryを駆除してもDOUBLEPULSARが残されたままになる場合があるとして、注意を呼び掛けている。

 EternalBlueとDOUBLEPULSARは、「Shadow Brokers」を名乗るハッカー集団が4月14日に公開した、米国家安全保障局(NSA)が開発元とされる多数の攻撃ツール群や脆弱性情報に含まれていた。スイスのセキュリティベンダーBinaryEdgeによると、DOUBLEPULSARが仕掛けられた端末は4月27日の時点で、少なくとも世界全体で42万8827台に上る。同社は、DOUBLEPULSARの検出コードも公開している。

 トレンドマイクロによれば、WannaCryの初期バージョンはランサムウェア機能のみで、Shadow BrokersがEternalBlueとDOUBLEPULSARを公開する前から存在した。WannaCryの開発者は4月14日以降にEternalBlueとDOUBLEPULSARをワーム機能としてWannaCryに追加し、WannaCryの感染拡大につながったとみられている。

 一方、NTTデータは5月17日に公開したレポートで、DOUBLEPULSARの感染端末がWannaCryの感染拡大の原因になったと推測した。被害の顕在化した組織が局所的あることや、DOUBLEPULSARの感染台数とWannaCryの感染台数が大よそ一致することなどを理由に挙げている。


予想される初期感染と感染拡大の流れ(出典:NTTデータ)

 こうした解析調査でWannaCryの感染が拡大した詳しい仕組みが明らかになったものの、最初の感染活動に用いられた具体的な手法は分かっていない。NTTデータも、DOUBLEPULSARの感染方法は不明としており、DOUBLEPULSARに感染した組織と、WannaCryの被害が顕在化した組織との相関性を明らかにできれば、推測を検証できるだろうという。

ZDNet Japan 記事を毎朝メールでまとめ読み(登録無料)

特集

CIO

モバイル

セキュリティ

スペシャル

ホワイトペーパー

新着

ランキング

  1. クラウドコンピューティング

    Google Cloudセキュリティ基盤ガイド、設計から運用までのポイントを網羅

  2. セキュリティ

    仮想化・自動化を活用して次世代データセンターを構築したJR東日本情報システム

  3. ビジネスアプリケーション

    スモールスタート思考で業務を改善! 「社内DX」推進のためのキホンを知る

  4. セキュリティ

    Emotetへの感染を導く攻撃メールが多数報告!侵入を前提に対応するEDRの導入が有力な解決策に

  5. セキュリティ

    偽装ウイルスを見抜けず水際対策の重要性を痛感!竹中工務店が実施した2万台のPCを守る方法とは

NEWSLETTERS

エンタープライズ・コンピューティングの最前線を配信

ZDNet Japanは、CIOとITマネージャーを対象に、ビジネス課題の解決とITを活用した新たな価値創造を支援します。
ITビジネス全般については、CNET Japanをご覧ください。

このサイトでは、利用状況の把握や広告配信などのために、Cookieなどを使用してアクセスデータを取得・利用しています。 これ以降ページを遷移した場合、Cookieなどの設定や使用に同意したことになります。
Cookieなどの設定や使用の詳細、オプトアウトについては詳細をご覧ください。
[ 閉じる ]