di_blog_post

Deep Instinct prevents more advanced threats than any EPP or EDR in the world.

Deep Instinct Blog: Breaking News and Updates

プラットフォームの概要

エンドポイントの先にあるもの

エンドポイント セキュリティ

製品

ランサムウェアの予防

ゼロデイ攻撃の防止

EPPの有効性の向上

EDRでは不十分

ファイルレス攻撃の阻止

ソリューション

サイバーセキュリティにおける深層学習

Deep Instinctのお客様

Deep Instinctが信頼される理由

Deep Instinctについて

ニュース

採用

お問い合わせ

会社概要

カタログ/資料

ブログ

デモ動画

トレーニング

リソース

資料請求/デモリクエスト

カスタマーポータル

インテグレーション/コンプライアンス

クイックリンク

アプリケーション向けの対策

+ Microsoft Defender

従来のAVを置き換える

カタログ・資料

オンラインセミナー

リーダーシップメンバー

ボードメンバー

国内販売代理店

パートナ

content_block

Perspective & Findings

ブログを読む

Emotet再来! 2023年最初のマルスパムの波

emotet-returns-2023-blog.jpg

Listing preview

Perspective & Findings

Emotet再来! 2023年最初のマルスパムの波

image_media_card

2022年ガートナー®マジック・クアドラントのEPP部門でDeep Instinctが唯一の新規ベンダーに選ばれた理由

死から蘇った、2022年のエモテット

The Re-Emergence of Emotet

Emotetの休暇は終了：悪い奴は休まない

Deep Instinct のトレンド

carousel_cards

listing_preview

Blog JP

complacency.jpg

過去の記事では、レガシーAVソリューションと、現在の脅威の状況やゼロ・トラスト・オンリー・セキュリティ・ソリューションを取り巻く守備範囲の変化について見て、それらが時代遅れである理由を説明してきました。 今回は、もう少し身近で「個人的」な話題を取り上げます。 セキュリティ運用とセキュリティエンジニアリングの現状は、便利なツールが環境内で暴れまわるのを許すにはあまりにも甘く、ツールが武器化されると、大混乱とパニックという事態を引き起こしてしまいます。あなたの環境には、まった検知されずに侵入を許してしまうような脆弱にしてしまうものがありますか？ Powershell、Process Explorer、PsExec、Process Hackerなどのプログラムは、すでにあなたのPCにある便利なツールです。 これらのプログラムは、「デュアルユース（二重の目的で使用される）」ツールです。私たちの生活を便利にするために設計されたツールですが、悪意のあるプログラマーにとっても、あなたの環境に入りやすくする非常に危険な侵入/乗っ取りのポイントとなってしまうため、「デュアルユース」ツールと呼ばれています。デュアルユースツールが操作され、環境に混乱をもたらす良い例が、Sodinokibi（REvilとも呼ばれる）です。 攻撃者（悪者）は企業が使用しているデュアルユースのRMMツールを利用して環境にマルウェアを仕掛けることができます。 これは、レガシーAVソリューションが導入されている場合に特に効果を発揮することになり、スクリプトを活用したファイルレス攻撃を検出することはできません。 それは、2018年後半から2019年のほぼすべての期間において、ありふれた攻撃ベクトルとなっています（ただし、RMMプロバイダーによるセキュリティ強化や2FAの義務化など、前向きな取り組みが行われています）。私は最近、同僚から、一般消費者向けのプログラムを武器化し、インストールされている様々なエンドポイントセキュリティを回避することがいかに簡単であるか試してみようと誘われました。そこで私は挑戦を受けて試してみることにしました。一般的なデュアルユースツール（意図的に名前を伏せてあります）をダウンロードした後、私はそれを武器化し（意図的に詳細は伏せてあります）、重要なファイルを削除することができるようにしました。これらのファイルは、当初はエンドポイントセキュリティプログラムによって自己保護されていました。驚いたことに、エンドポイント・セキュリティ・ソリューションは、エラーもなく、何らかの問題や操作が必要な兆候もなく、依然として「有効」な状態を示していました。その後、私は簡単にDharmaランサムウェア（Crysis亜種）をエンドポイントに落とし、完全に暗号化することができました。 準備にかかった時間はどれぐらいだと思いますか？ おおよそ30秒から1分です。 この攻撃によって組織がカオス状態になってしまう時間は数週間から数ヶ月に及ぶでしょう。このテストの時点では、私が兵器化したツールを検出したベンダーは一握りでしたが、Deep Instinctは見事に予防してそれを停止させました。 悪意ある行為者が、さまざまなソフトウェアを使って環境を調査し、何が検知され、何が検知されないかを確認することは、珍しいことではありません。 悲しいことに、私は以前、ある不幸な企業でこのような攻撃行動を見たことがあり、事後対処分析を支援しました。今回のテストをもう少し詳しく見ていきましょう。レガシーなセキュリティ・ソリューションがアクティブな状態で、マシン上のファイルへアクセスして暗号化するプロセスを実行している間、これらの動作はどのように見えていたのでしょうか。 以下は、マシンのローカルで利用したファイルの流れです（PsExecなどのユーティリティを使って、問題のプログラムのコマンドをリモートで実行することも可能です）。ステップ1：ダウンロードしたプログラム（名前は省略）を取得し、エンドポイントにインストールされているエンタープライ ズセキュリティソリューションで検知されないことを確認するステップ2：問題になりそうなプロセスを分離し、終了させたい特定のファイルを見つける<img class="alignnone size-full wp-image-6409" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt4ce636a0c0d0c0b3/611a7ded9335cc162c8960be/specific-file.png" width="179" height="409" style="width: 179px; height: 409px;"/>ステップ3：セルフプロテクションで保護されているはずの鍵となるファイル<img class="alignnone wp-image-6410 size-full" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/bltdd9849acd3e5ef6e/611a7deb252ebc15cd9d1eb7/step3.png" width="663" height="54" style="width: 663px; height: 54px;"/>ステップ4：バックエンドで何も無効化されているにもかかわらず、まだ「有効」だと思っているプログラム<img class="alignnone wp-image-6411 size-full" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt726d9081da7a5bbc/611a7deabf98451666a13328/step4.png" width="850" height="51" style="width: 850px; height: 51px;"/>ステップ5：プログラムが「有効」になっている間、ランサムウェアが実行される<img class="alignnone wp-image-6412 size-full" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt94a2e1002df177ec/611a7dea59600f169a954b0c/step5.png" width="892" height="98" style="width: 892px; height: 98px;"/>ステップ6：デュアルユースツールのおかげでセキュリティプログラムが「インストール」され実行されている間でも、ランサムウェアによってマシンが完全にロックダウンされる<img class="alignnone wp-image-6408 size-full" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt62a7b84d512b0661/611a7df13832d8165f1bf146/step6.png" width="1549" height="264" style="width: 1549px; height: 264px;"/>また、2019年12月頃に話題になった例として、暗号化の実行前にマシンをセーフモードに再起動させるランサムウェア「Snatch」があります。 セーフモードは、ネットワーク通信を妨げ、サービス/実行ランタイムへのアクセスを設計上制限するため、主にランサムウェアを停止させたり、修復を支援するために使用されていましたが、これは新しく、ユニークなものです。 Snatchランサムウェアは、データを収集するためにいくつかの異なるダンプを行いますが、これらはすべてランサムウェアの通常の操作の範囲外のものではありません。しかし、異なるのは、感染のためのツールと方法です。 環境内のより多くのターゲットを特定するために使用されるAdvanced Port Scannerなど、正規のツールがダウンロードされます。 しかし、Snatchの手法の中で最も致命的なのは、PsExecと呼ばれるデュアルユースツールによるものです。PsExecは、便宜上、マシン上でのコマンドのリモート実行を許可するために、あまりにも多くの管理者が依存しているユーティリティです。しかし、この「便利さ」が悪用され今や管理者にとって悪夢のような状況となっています。 このランサムウェアの全プロセス（ファイルの実行、セーフモードへの再起動、ペイロードの爆発）はすべて、user32.dll（PCが正常に動作するために必要なシステムプロセス）と対話するPsExecの使用、そしてXXXXX_unpack.exeなどのランダムに生成されるファイルによって成り立っています。従来のAVソリューションは、管理コンソールやポリシーファイルに手動で追加するなど、コンテンツファイルに直接変更を加える動作を制限するためには、非常に多くの設定を必要とします。 このため、ほとんどのセキュリティ・チームでは、業務利用しているツールやプログラムは悪意のあるものではないという、ある種の思い込みをしています。 そのため、手遅れになり、環境に混乱が生じるまで、プログラムが兵器化されていることが見過ごされてしまうのです。信じられないかもしれませんが、これらすべてに対応できるセキュリティソリューションがすでに存在しています。Deep Instinctのエンドポイントソリューションは、管理のオーバーヘッドを最小限に抑え、ポリシーによってすべてのPUA（Potentially Unwanted Applications）を完全にブロックできるため、セキュリティ・チームは実際の問題解決に時間を費やすことができます。

デュアルユースツールとその危険性

Healthcare-Ransomware.jpeg

多くのランサムウェアギャングは、ランサムウェアの亜種を使って医療機関を標的にすることを控えていますが、医療機関もランサムウェアと無縁ではありません。理由は、医療機関への攻撃は特に注目度が高く、生命を脅かす可能性があるためです。<a href="https://www.hcinnovationgroup.com/cybersecurity/data-breaches/news/21214314/report-ransomware-attacks-cost-healthcare-organizations-21b-in-2020">ランサムウェア</a> による攻撃は、2020 年に 210 億ドルの損害を与えたと推定されており、92 件のランサムウェア攻撃が 600 以上の医療機関に影響を与え、1,800 万件以上の患者記録が漏洩したとされています。攻撃は、患者、医療従事者、そして組織の健康と福祉に深刻な影響を与えるもので、現在も発生しています。また、サイバー犯罪者が攻撃対象を拡大し、影響を受けやすいターゲットを探し始めているため、さらに多くのネットワーク、病院、診療所が標的になる可能性があります。AvosLocker は、特に医療機関を標的とした新しいランサムウェアの亜種の1つです。AvosLocker は、ネットワークに感染してすぐに機能を停止させる他のランサムウェアとは異なり、ユーザーの画面に表示されるコマンドプロンプトのウィンドウ内で各ファイルをゆっくりと暗号化し、システムを乗っ取る際に高い心理的ダメージを与えます。ユーザーは、自分の環境に何が起こっているかをリアルタイムで見ることができますが、攻撃を阻止するために何もすることができません。このランサムウェアは非常に効率的に動作しますが、分析ツールを死滅させるわけではありません。実際、ProcMon は暗号化プロセスからキャプチャ全体を保存することができました。これは、対策としてツールやプログラムのインストールや実行をブロックする他のランサムウェアの系統とは異なります。医療分野におけるもう 1 つの最近の脅威は、2021 年 6 月に初めて登場して以来、小さな波紋を呼び始めた HIVE です。Lockbit 2.0 や REvil と同様に、これは二重の恐喝ベースのランサムウェアで、C2機 能として <a href="https://www.cobaltstrike.com/help-beacon">Cobalt Strike Beacon</a> に大きく依存しています。HIVE ランサムウェアの興味深い点の 1 つは、医療業界を攻撃するために容赦なく使用されていることですが、これは他の APT グループが上記の理由から激しく反対している行為です。HIVEとMemorial Health SystemHIVE は、8 月にオハイオ州のMemorial Health System社の病院を襲った事件の犯人であり、<a href="https://www.fiercehealthcare.com/tech/fbi-warns-healthcare-systems-hive-ransomware-following-memorial-health-system-attack">FBI は医療機関に対して同様の攻撃</a>に備えるよう警告しています。HIVEは、身代金要求の一環として、「Shadow.bat」と呼ばれるバッチファイルをダウンロードし、すべてのシャドウコピーを削除した後、自分自身をマシンから削除します。これは、システムの復元を防ぐためのものです。もしあなたの組織が外部バックアップをとっていない場合、データにアクセスするには復号化ユーティリティーに頼ることになります。このランサムウェアは、サイバーチームに、すべてのファイルが暗号化される様子を、コマンドウィンドウを介してライブで見させるという、AvosLocker と同じ心理的なトリックも採用しています。ただし、AvosLocker とは異なり、ProcMon などの解析ユーティリティーなど、実行中のアプリケーションを完全に殺してしまいます。HIVE ランサムウェアからの完全な保護すべての医療機関は、マルウェアやその他の脅威に対するセキュリティスタックの保護を徹底して行っていますが、医療機関のセキュリティ専門家は、これらの既知の脅威を阻止できるツールを採用する必要があります。医療機関がランサムウェアの脅威から完全に保護するためには、予防第一の考え方を採用する必要があります。人の命がかかっているときに、情報漏えいは許されることではありません。Deep Instinctはディープラーニングを活用した予測モデルによって、これらの脅威をも予防しています。<img asset_uid="bltee6a63fe734629a2" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/bltee6a63fe734629a2/618ef78d6e3250402c099b5c/image002_(1).png" width="614" style="width: 614px; height: auto;" max-width="614"/>

医療機関とHIVEランサムウェアの比較：自分自身を守る方法

We have heard this story before, so I will skip the backstory about how ransomware is a giant nightmare that shows absolutely no sign of slowing down,

Ryuk.jpg

ランサムウェアがいかに巨大な悪夢であり、その勢いがまったく衰える気配がないかという話は既にご存知だと思いますので、この点については省略します。Ryuk ランサムウェアに関する情報は数多くありますが、あまり知られていないのは、Ryuk には多くの種類と世代があり、様々な Ryuk がお客様の環境を襲う可能性があるということです。
Ryuk の第1世代は、あまり賢いつくりではありませんでした。当時成功を収めていたHermesの派生型であるRyuk は、身代金を投下するための新たなメカニズムが追加された新しい亜種でした。これを成功させるために、ハッカーグループは、今でも悪名高く人々を脅かしているトロイの木馬「Trickbot」のような、利用可能なツールに大きく依存していました。
つまり、Trickbot を停止させることができれば、Ryuk の攻撃を受けずに済む可能性が非常に高くなります。なぜこのようなことが起こるのでしょうか？ Trickbot は、グループがネットワークの偵察を開始するための最初の足場となるものです。もしトロイの木馬がゲートでブロックされていたら、攻撃する地盤がないことになります。
よりマニュアル化されたバージョン
Ryuk の第1世代が他のランサムウェアと異なるのは、人間の要素です。Trickbot がマシンに侵入したら、誰かが偵察を行い、環境に最も「影響」を与えるようなマシンへのアクセスを可能にし、その結果、支払いが「保証」あるものとなります。
一般的なターゲットは、ファイルサーバ、ドメインコントローラ、ホスティングマシンなどの重要なマシンです。マルウェアやランサムウェアに関する情報を共有する能力が高まり、多くのソースからのライブ投稿を見ることができる無数のサイトがあるにもかかわらず、なぜ第1世代はこれほどまでに成功したのでしょうか？それは、エンドユーザーへの影響（パフォーマンスの低下、アプリケーションのクラッシュなど）を最小限に抑えるために、管理者が厳格なAVポリシーから「除外」したり、場合によっては製品を完全に無効化したりしているものが、最も悪質なターゲットとなる傾向があるからです。
次世代 Ryuk
次世代のRyukは、Ryuk のクリエイターが学校に戻って、環境に侵入するための高度な知識を身につけ、それを繰り返しています。どこの管理者も聞きたくないパターンですね。いくつかの点が変わった一方で（それについてはすぐに説明します）、他の点は変わっていません。環境への基本的な侵入方法は、主に標的型スピアフィッシングと、VBA マクロが含まれている可能性が高い「文書」に依存しており、マクロを有効にした瞬間に（または、デフォルトでコンテンツを有効にしている場合は文書を開いた瞬間に）ドロッパー/ローダーが実行されます。また、TrickBot が方程式の一部である可能性もあります（壊れていない場合は、修正しないことです）。
一般的な料金、多くのキャンペーンがこの方法を使用しています。MAZE（今は亡き）、Ragnar、Emotet などが、足場を固める最初の段階でこの方法を使っています。CobaltStrike Beacon は、ビーコンをコントロールする側（C2）に柔軟性を与えることができるため、レッドチームによる侵入テストの演習でよく使用されています。Wizard Spider は、カスタマイズされたツールへの依存度を大幅に減らし、土地を利用して生活するという新たな段階に入ったことで、環境内での横移動が飛躍的に容易になりました。
足場を築き、C2サーバを設置した後は、他のランサム攻撃と同じように、コマンドとPowershell を利用して、横方向への移動とクレデンシャルダンピングを行います。残念ながら、Powershell スクリプトを監視できる製品はあまりなく、ましてや Powershell スクリプトをコンテキストレベルで分析して、正規のスクリプトを通過させたり、悪意のあるスクリプトを停止させたりすることはできません。
そのため、Powershell を完全にブロックするか、Powershell を許可するかの2つの選択肢があります。ユーザー（特に管理者）が環境を適切に管理したりタスクを遂行したりするために、最大限のセキュリティとバランスを求めるのであれば、どちらも良い選択肢ではありません。これは、管理者がユーザーに影響を与えないためには、環境のセキュリティを低下させてでもできる限りのことをするということに似ています。
例えば、コロナウイルスが大流行した際に、<a href="https://www.wired.com/story/ransomware-hospitals-ryuk-trickbot/" rel="noopener noreferrer" onclick="javascript:window.open('https://www.wired.com/story/ransomware-hospitals-ryuk-trickbot/'); return false;">何十もの病院</a>&nbsp;が第1世代の Ryuk に感染しました。医療機関にとっては、決してあってはならない事態です。
予防はとても重要です。検知して修復することよりも、予防を優先させることは、もはや選択肢の一つではなく、最優先事項です。ランサムウェアの場合、組織にはリスクを負う余裕は全くありません。2020 年 9 月には、ある病院はランサムウェアの攻撃を受け、新たな入院患者を受け入れられなくなったことで、患者が死亡しました。
私の同僚が予防を実践するために作った Ryuk のビデオでは、Ryuk を防ぐために、静的エンジンブレインのバージョン 109 が使われています。これは、109 のBrain が 2018 年 11 月にトレーニングされてリリースされたものであり、感染の 2 年前にリリースされたものであるため、注意が必要です！
<iframe title="Ryuk Ransomware" width="1024" height="576" src="https://www.youtube.com/embed/TOpIJa5Pf90?feature=oembed" frameborder="0" allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen=""></iframe>


上のビデオは、予防に重点を置いたソリューションが最も重要な理由を説明しています。この&nbsp;<a href="https://www.deepinstinct.com/ja/endpoint-security">エンドポイント セキュリティ ソリューション</a>は、インテリジェントな Powershell スクリプト解析を提供し、管理者の業務を柔軟にサポートすると同時に、悪意のある行為に対して厳格な予防方法を適用します。Deep Instinct はまさに完璧なパッケージです。

Ryuk Ransomware: Deviance の分散

Ransomware.  Just that one word can strike fear into the hearts of the most hardened security professionals.  The word itself has become scary but bec

ransomware-attack.jpg

ランサムウェア – この言葉を聞いただけで、セキュリティ関係者は恐怖を感じることでしょう。 この言葉自体も怖いですが、ランサムウェアは、企業が悪意ある者からの攻撃を受け、マシンが危険にさらされたり、暗号化されたりした場合に、生活に支障をきたす可能性があるからです。しかし、これは大したことではありません。ただのコンピュータとファイルなのですから、それを削除して生活は続けることができます。おそらくそうでしょう・・・？
おそらく？&nbsp; このようなリスクがある以上、「おそらく」で済ませることはできません。ランサムウェアに攻撃された後の復旧には、数え切れない程の対応があり、その多くはほとんどの企業で準備ができていません。ランサムウェアから復旧する最も簡単な方法は、何事もなかったかのようにバックアップから全てを復元することでした。さらに重要なことは、バックアップから復元することで、攻撃されたことを外部に知られることがないということです。早くて簡単な方法ではありますが、ランサムウェアの攻撃から復旧するためには想定外の隠れたコストがかかり、すぐに大きく膨らんでしまいます。 &nbsp;この記事では、Maersk 社の事件を取り上げます。この事件は復旧に関連する価格が非常に高かったことから有名になりました。
2017 年 6 月、Maersk 社は NotPetya というランサムウェアの被害に遭いました。&nbsp; その影響は、&nbsp;<a href="https://www.zdnet.com/article/maersk-forced-to-reinstall-4000-servers-45000-pcs-due-to-notpetya-attack/" rel="noopener noreferrer" onclick="javascript:window.open('https://www.zdnet.com/article/maersk-forced-to-reinstall-4000-servers-45000-pcs-due-to-notpetya-attack/'); return false;">2 週間弱で、4000 台のサーバーと 4 万 5000 台のPC、そして 2500 のアプリケーション</a>&nbsp; に及びました。ここでは、49,000 台のマシン（サーバーとワークステーション）のコストに焦点を当て、それらが停止していた 10 日間の総コスト（約 3 億ドル）を分析してみたいと思います。 240 時間強で 3 億ドルとなると、復旧と事業中断の両方で 1 日あたり約 125 万ドルのコストがかかったことになります。小規模な企業であれば、<a href="https://info.deepinstinct.com/value-of-prevention?__hstc=51647990.dc8a99fff2a6513021aad3f9c7ac78b9.1634114000427.1634204187741.1634283241840.5&__hssc=51647990.56.1634283241840&__hsfp=1541969278" rel="noopener noreferrer" onclick="javascript:window.open('https://info.deepinstinct.com/value-of-prevention'); return false;">ランサムウェアの被害</a>からの復旧に&nbsp;<a href="https://www.forbes.com/sites/leemathews/2020/01/26/average-cost-to-recover-from-ransomware-skyrockets-to-over-84000/#42ea94cf13a2" rel="noopener noreferrer" onclick="javascript:window.open('https://www.forbes.com/sites/leemathews/2020/01/26/average-cost-to-recover-from-ransomware-skyrockets-to-over-84000/#42ea94cf13a2'); return false;">8 万ドル&nbsp;</a>程度の費用がかかると考えられています。
ここでは、ランサムウェア攻撃の典型的なライフサイクルとその影響、今後の対策に役立つ、被害を受けた環境において気づくべき兆候を説明します。なお、各ステップの名称は「業界標準」ではありませんが、ライフサイクルについて、より適切に理解できると思います。
ステップ 1&nbsp; – プロービング&nbsp;： ランサムウェアの攻撃を成功させるためには、企業とその防衛能力について理解する必要があります。&nbsp; 最新のソリューションを導入しているか？&nbsp; 防御はどのように構成されているか？誰かに環境に「簡単にアクセスできる」クレデンシャルやパーミッションを与えてしまうようなものを使っていませんか？例えば、セキュリティが脆弱な外部へのオープンな RDP などです。&nbsp; 一般的な手法としては、複数の異なるツールやプログラムをマシンにインストールして、何が防げるか、何が防げないかを確認し、検出されなかったプログラムの 1 つ（主に&nbsp;<a href="https://www.deepinstinct.com/ja/blog/be-afraid-of-dual-use-tools-and-their-power-of-complacency" target="_blank" rel="noopener noreferrer">デュアルユース</a>&nbsp;のツール） を武器にして、マシンのローカル セキュリティを回避します。一般的には、セキュリティ・ソリューションの管理コンソールで確認することができますが、これを継続的に監視するには人手と時間が必要です。これを強化するためのオプションとして、<a href="https://www.deepinstinct.com/ja/blog/the-intersection-between-zero-trust-and-zero-time" target="_blank" rel="noopener noreferrer">ゼロトラスト&nbsp;</a>モデルの導入がありますが、これは内部ソース（従業員など）からの保護のみで、必要な<a href="https://www.deepinstinct.com/ja/blog/the-intersection-between-zero-trust-and-zero-time" target="_blank" rel="noopener noreferrer">ゼロタイム</a>&nbsp;モデルは含まれません。
ステップ2&nbsp; – 攻撃：&nbsp;悪者は、お客様の環境とその欠点を把握すると、攻撃を開始します。セキュリティが脆弱な RMM ツールにアクセスできる場合、それは格好のエントリーポイントとなります。通常、RMM ツールに与えられている権限は、何かを実行するには十分です。また、標準的な Eメールを利用して、アーカイブ内にパスワードで保護された「文書」を添付することも考えられます（保護されたアーカイブ内をスキャンできないため、エンドポイント・ソリューションによる削除を防ぐことができます）。さらに、すでに環境に存在する&nbsp;<a href="https://www.deepinstinct.com/ja/blog/be-afraid-of-dual-use-tools-and-their-power-of-complacency" target="_blank" rel="noopener noreferrer">デュアルユース</a>&nbsp;のツールを武器にするなど、他にも利用可能なオプションがあります。この攻撃の一部は、暗号化サブルーチンを含むペイロードであり、そのコード化の仕方によっては、1 台のマシンと、マッピングされたネットワークドライブを攻撃することができます。私が見てきたランサムウェアのほとんどは、ファイルの暗号化に最低でも&nbsp;<a href="https://en.wikipedia.org/wiki/Advanced_Encryption_Standard" rel="noopener noreferrer" onclick="javascript:window.open('https://en.wikipedia.org/wiki/Advanced_Encryption_Standard'); return false;">AES-256</a>&nbsp;を使用していたので、ここに違和感を覚えました。
ステップ 3&nbsp; – 身代金の請求：この時点で、すべてのファイルはマシン上で AES-256 で暗号化されており、マシン上には悪者からいくら欲しいかが書かれた身代金請求書があります（一般的にはビットコインでの請求です）。そのメモには、お金を匿名のウォレットにアップロードする方法が書かれており、その見返りとして、すべてのファイルを解読して機能を回復するためのユーティリティが提供されます。身代金を支払った人はファイルが復号化されますが、私がいつも疑問に思うのは、本当に彼らは私たちのファイルを保管していたかということです。
このような状況に関して、私がセキュリティ分野で聞いた最も一般的な意見は、「お金を払わないでください。バックアップから復元して、一日を過ごしなさい」というものでした。&nbsp; 正直なところ、理論的には悪い考えではありませんが、もしあなたの会社がひどく人手不足で、定期的なバックアッププロセスを持っていなかったとしたらどうでしょう？&nbsp; &nbsp; たとえバックアップがあったとしても、それらのマシンでリカバリプロセスを行っている間は、数日もしくは数週間もダウンすることになります。それがあなたのビジネスにどのような影響を与えるのでしょうか？ 復旧する作業だけでも大変なときに、更に復旧中のビジネスへの影響という新たな問題も出てきます。私はこれを 「カオス」と呼んでいます。
ステップ 4&nbsp; – 混乱：&nbsp;上記のような状況は、企業にとって限界に近いものですが、「カオス」は、このプロセスに全く新しいレベルの心配事を加えます。&nbsp; それは、身代金という&nbsp;<a href="https://www.deepinstinct.com/ja/blog/the-evolution-of-ransomware-and-its-culmination-to-the-nameshame-game" target="_blank" rel="noopener noreferrer">従業員への給与の支払いさえも危ぶまれる</a>ものです。&nbsp; 特に、数年前にランサムウェアが登場して以来、多くの企業がバックアップを強化してきたため、悪者は環境を暗号化するだけでは影響が足りないこ、そしてマシン上のデータよりも価値のあるものが存在することを知ったのです。
企業は、顧客データを非公開にしたり、社内の知財を非公開にすることを誇りにしています。この事件は 2019 年末に始まり、2020 年の1 月に大きく勢いを増しました。5 つの法律事務所が被害に遭い、支払いを強制するために暗号化されたデータを公開すると脅されました。&nbsp; データ流出の基本は、当該企業がどのように侵入されたかを示すことであり、その過程の一部として、彼らが極めて深刻であることを示すために、いくつかのデータが顧客に開示されます。
身代金を支払わない場合、データはダークウェブで公開されます。また、取り引きのある企業にも連絡を取り、データ保護違反で訴訟を起こされた場合にデータを提供します。&nbsp; 多くの人は、身代金を支払って次のステップに進むことが最善の方法だと考えていますが、復旧のプロセスには、多くの人が考慮していない重要な部分があります。
ランサムウェアの中には、ランサムウェアのプロセスを停止させても、一定期間が経過したり、再起動したりすると、ランサムウェアがまだ活動を続けてしまう「パーシステンス（持続性）」という手法を用いるものがあります。&nbsp; パーシステンスに対抗する唯一の方法は、ランサムウェアに限らず、マルウェアがパーシステンス機能を獲得する場所や方法をすべて知り、熟知することです。&nbsp; ランサムウェアに限らず、マルウェアがその持続性を獲得する場所や方法をすべて知り、熟知することです。あなたが感染したマルウェアがどのように持続性メカニズムを利用しているかを知らなければ、身代金を支払っても、そのマシンが次にソフトウェアを実行したときに、自分自身や他のマシン（ネットワークコンポーネントがある場合）を再感染させることができるのであれば、無駄な行為となります。
ステップ 5&nbsp; – 落ち込み：&nbsp;悪者は、企業にとって漏洩したことを公にされることは大きな打撃であることを知っています。暗号化インシデントによる企業イメージは壊滅的なものになる可能性があり、もしのその企業の事業内容がサイバーセキュリティであった場合、公になれば、倒産になりかねません。このように、悪者が確実に報酬を得ようとする「努力」を重ねた結果、これらの事件を積極的にカバーするために、<a href="https://www.deepinstinct.com/ja/blog/does-ransomware-insurance-give-companies-a-false-sense-of-security" target="_blank" rel="noopener noreferrer">ランサムウェア保険</a>&nbsp;という新たなセキュリティ層が導入されました。
企業がランサムウェア保険を利用して悪者に支払いを行い、データを取り戻すという記事が多く掲載されています。企業が負担するのは免責金額（ 40 万ドル以上の身代金の場合は約 1 万ドル）だけなので、費用対効果は自ずと明らかになります。&nbsp; 保険は企業の運営を助けるものですが、すべての脆弱性を排除するものではありません。&nbsp; ランサムウェアを利用したイベントを修復するために免責金額が支払われますが、セキュリティが侵害されたことは簡単に判明します。これは、他の悪者に「確実にお金が稼げる企業」と公表するだけでなく、企業のセキュリティ対策がが万全ではなかったことを不本意ながら認めることにもなります。さらに、保険会社は、攻撃を受けた理由を徹底的に分析し、保険の補償の対象外とするために全力を尽くします。これにより、多くの企業が身代金の総額を負担することになりますが、多くの場合、すぐに支払えるような流動的な現金はありません。
ステップ 6&nbsp; – 最善の方法と今後について：&nbsp; 悪者は、企業にとってブランドイメージとと評判が重要であることも見逃していません。セキュリティ対策が甘く、事を穏便に済ませたいと考えている企業を利用して、確実にお金を稼ごうとしています。ランサムウェアに感染した企業は、近い将来、ほぼ 50 ％の確率で同じ攻撃を受けることになるからです。&nbsp; 実際、あるセキュリティ担当者の話によると、身代金を支払って約束通りにデータが復号化された後、復号化の最後に、感染したユーザーの画面に見知らぬアイコンが残されていたそうです（これが感染の始まり）。好奇心旺盛なユーザーがそのアイコンをダブルクリックすると、マシン上で 2 回目の暗号化サブルーチンが起動し、データが再び暗号化されてしまいました。
では、どうすればいいのでしょうか？データの復号化、強制的な支払いにデータがさらされる脅威、そして再犯の可能性を防ぐにはどうすればよいのでしょうか？
まずは、強固なセキュリティ体制を構築することから始めましょう。最新ソリューションを利用することは、今すぐできる最良の選択肢です。ゼロトラストとゼロタイムの組み合わせは、セキュリティの完璧な防御であり、Deep Instinct の出番です。&nbsp; 私たちは未知の脅威の領域で活躍し、お客様の環境を悪者とその恐ろしいランサムウェアから守ります。
Deep Instinctは、他社が見つけられないものを防ぎます。

ランサムウェア攻撃からの復旧

2022年ガートナー®マジック・クアドラントのEPP