ウクライナを標的としたワイパー型マルウェアなど急増--Trellixの脅威レポート

渡邉利和

2022-06-01 12:30

　Trellix（旧McAfee EnterpriseとFireEyeの統合会社）は5月31日、2021年第4四半期の脅威レポートについて記者会見した。米国では4月27日付で発表済み。ウクライナを標的としたワイパー型マルウェアと、ロシアが支援したとみられる攻撃者によるサイバー脅威の急増が明らかになったという。

　常務執行役セールスエンジニアリング本部シニアディレクターの櫻井秀光氏は、「新たな脅威」「ランサムウェア」「環境寄生型（LotL）攻撃」「国家主導の攻撃グループによる脅威の動向」「組織を侵害する事前準備としての個人侵害」の大きく5つのテーマで解説した。

2021年第4四半期の脅威動向のまとめ

　まず、「新たな脅威」として、ウクライナを対象としたサイバー攻撃で使われた新型ワイパー型マルウェア「HermeticWiper」が紹介された。ワイパー型マルウェアは金銭目的のランサムウェアなどとは異なり、システムの完全破壊を狙うものになる。HermeticWiperがシステムに感染すると、システムドライバーとWindowsファイルが削除され、システムが動作不能になる。

　この脅威への対策として、櫻井氏は「攻撃者が初期侵入の際に使用する戦術、技術、手順（TTP）を分析し、初期侵入フェーズで防御するための適切な対策を講じるべき」だとした。その他にも、「韓国のAPT（持続的標的型攻撃）グループによる中国マカオの高級ホテルを標的としたスピアフィッシングメール」や「西アジア地域の政府高官を対象とした多段階スパイ活動」も紹介された。

HermeticWiperの概要と初期侵入を防ぐための推奨手順

　「ランサムウェア」では、「REvil/Sodinokibiのテイクダウン成功」が大きなトピックとなった。2021年第3四半期にはランサムウェアファミリーのトップにランキングされていたREvil/Sodinokibiは、「使用していたインフラのテイクダウンや内輪もめ、複数名の逮捕者の発生などにより、第4四半期では顕著な検出は見られずランク外」になったという。

　この結果、2021年第4四半期のランサムウェアファミリーの検出数ランキングは、「Lockbit」がトップで、2位に「Cuba」、3位に「Conti」となった。なお、櫻井氏は「技術力があれば働く場所はすぐに見つかる」として、解体状態に追い込まれたREvilの主要メンバーの内、逮捕を免れた人物が他のランサムウェアファミリーに移籍した可能性があるとしている。

　「環境寄生型（LotL）攻撃」は、OS上に元々存在する正規のツールなどを悪用するタイプの攻撃手法で、引き続き使用されているという。悪用されたツールとしては、Windowsでは「Windows Command Shell（CMD）」が53％、「PowerShell」が44％、外部の管理用ツールでは「AnyDesk」「ConnectWise Control」「RDP」「WinSCP」「UltraVNC」「PuTTY」などが確認されている。これらのツールについて、櫻井氏は「使用していないのにインストールされているような場合は、（これらのツールを）すぐにアンインストールすべき」だとしている。

　「国家主導の攻撃グループによる脅威の動向」では、ロシア主導とみられる「APT29」の活動が活発で、検出数の30％を占めたという。なお、こうした攻撃を受けた場合、対応のために費やす費用は「1インシデントにつき1億円以上」という調査結果も紹介され、政府の支援強化を求める声も多いという。

　最後に、「組織を侵害する事前準備としての個人侵害」では、組織内での職位が高く、さまざまな権限を有している個人を標的としたサイバーインシデントが大幅に増加したという。ソーシャルメディアやモバイル端末など、広範に情報を収集するため注意が必要だという。

　続いて、日本で実施された「経営者とセキュリティ担当者の『情報セキュリティ』に関する意識調査結果（2022年5月版）」についても紹介した。直近1年でのセキュリティインシデントの発生状況として、「クラウド上のデータ侵害（情報漏えい）」について「経験あり」と回答したのが68.8％、「ランサムウェア」の「経験あり」が45.5％だった。

　クラウド上のデータ侵害の原因では、「標的型攻撃」が最多で、次いで「脆弱性を突かれ侵入」「Eメール」「アカウント乗っ取り」「内部者（退職者含む）の持ち出し」だった。また、ランサムウェアに関して、身代金を「支払った」のは29.7％で、前年に比べて12.8ポイント減少したのはよい兆候だとしている。