チェック・ポイント・ソフトウェア・テクノロジーズは5月17日、ランサムウェアWannaCryに対するフォレンジクス分析と亜種にも有効なキルスイッチ・ドメインを公開した。
同社のブログ上で「新たなキルスイッチ・ドメイン」として記載されているのは、以下のもの。
・ayylmaotjhsstasdfasdfasdfasdfasdfasdfasdf[.]com
・MD5: 4287E15AF6191F5CAB1C92FF7BE8DCC3
今回のキルスイッチは、旧亜種に対するキルスイッチと同様に機能しており、新亜種のその他のコードは、旧亜種とほぼ同じであることが確認されているとしている。
SandBlast Threat Emulation サンドボックスの検査レポートによる活動分析
Check Point SandBlast Agent のフォレンジック機能による活動分析
同社は、WannaCry が使用する複数の攻撃経路として以下を示した。
・SMB（Microsoft Server Message Block）を利用した直接的な感染拡大
・電子メール内の不正なリンク
・不正なPDFファイルの添付：不正なリンクを含むPDFファイル
・不正なZipファイルの添付
・RDPサーバに対するブルート・フォース・アタックでのログイン
なお、SMBを利用した経路について、同じ攻撃経路を使用する亜種や模倣版など複数のサンプルの存在が確認されているとし、チェック・ポイントが検証したすべてのサンプルは、同社のセキュリティ製品SandBlastのアンチランサムウェアまたはThreat Emulationで検出、ブロックできるとした。
同社が推奨する一般的な対策としては、次のものが挙がっている。
・Microsoft のセキュリティ情報 MS17-010「Microsoft Windows SMBサーバに対する緊急セキュリティ更新プログラム（4013389）」（https://technet.microsoft.com/ja-jp/library/security/ms17-010.aspx）で報告された脆弱性の修正パッチをWindowsマシンに適用する
・ネットワークで共有されていない場所にバックアップを保存する
・パスワードで保護された添付ファイルをメール・ゲートウェイでブロックする
