ITシステム以外にも影響を及ぼし始めたランサムウェア

　あらためて、WannaCryとはどんなマルウェアなのかをおさらいしておきましょう。これは、感染すると画面をロックしたり、ファイルを暗号化したりして使用できない状態に陥れ、「元に戻してほしければ金銭を支払え」と要求してくる悪意あるソフトウェアです。

　ランサムウェア自体は比較的古くから存在していました。特にここ数年は、PCをターゲットにしたランサムウェアの数が急増しており、家庭でPCを利用している一般のユーザーだけでなく、企業のファイルサーバに格納された重要なファイルまでもが餌食となる傾向にあります。IT以外のシステムがランサムウェアの影響を受けたケースも初めてではありません。

　2016年に米国では、医療機関のPCがランサムウェアに感染した結果、やむを得ず身代金を支払ったり、サンフランシスコ市営鉄道のシステムが感染し、乗客が無料で乗降できるようにして対応したケースが報じられています。

（写真はイメージです）

⇒⇒「新着ホワイトペーパー」をチェックする

　その意味で、WannaCryは目新しいものではないのですが、1つだけ大きな違いがあります。それは、Microsoft Windowsの脆弱性を悪用し、ユーザーがファイルを開いたり、Webのリンクをクリックするといった能動的な操作を行わなくても感染してしまう可能性がある点です。最初の「火種」は明らかになっていませんが、例えばVPN接続していたPCが感染し、それが国をまたいで構築された社内LANを介して拡大した可能性が指摘されています。その後7月には、日立製作所のWannaCry感染の発端が、ドイツのグループ会社で利用していた電子顕微鏡の操作装置である可能性が報じられました。

　従って、「まずはパッチを適用すること」と「万一に備えてバックアップを取得すること」が第一です。同時に、内外に開くネットワークポートは最低限のものに留めることも重要でしょう。

　なお2017年6月22日には警察庁が、ファイルを暗号化しないWannaCryの亜種（もはやランサムウェアといえるかどうかは謎ですが）によるアクセスが継続して観測されていることに警告を発しています（ランサムウェア「WannaCry」の亜種に感染したPC からの感染活動とみられる445/TCP ポート宛てアクセスの観測について：リンク先PDF）。

　この亜種はパケットを大量に送信してネットワーク帯域を圧迫し、いくつかの企業でシステム障害などを発生させた可能性があります。論理的にネットワークを分けていても、共有しているインフラが圧迫されたり、データ参照先の動作が重くなると、オペレーションに障害が発生する恐れがあります。

正規ツールを用いて内部で感染を広める、よりタチの悪い「NotPetya」も登場

　そして6月27日深夜には、新たなランサムウェア「NotPetya」が拡散し、ウクライナやロシアを中心に被害を広げました。一部の報道によれば、チェルノブイリの放射線測定システムもこのマルウェアの影響を受け、測定作業を手動に切り替えて行ったそうです。最初の感染はウクライナで利用されている会計ソフト「MeDoc」の更新機能が悪用された結果だという情報もあります。

　NotPetya（既存ランサムウェア「Petya」の亜種）は、感染するとMFT（マスターファイルテーブル：HDDなど記憶領域の索引にあたる部分）領域を暗号化し、さらにMBR（マスターブートレコード：記憶領域の先頭部分）を上書きしてPCを起動できなくしてしまうランサムウェアです。

　幾つかのセキュリティベンダーの情報によると、WannaCryと同じくMS17-010の脆弱性を悪用する他、PsExecやWMIといったWindows向けの正規のツールを用いて、ネットワーク内で拡散を試みます。また、Mimikatzなどのツールを用いてアカウント情報を盗み出すとの情報もあります。既にパッチを適用していても、1台でも感染したPCがあれば内部で被害が拡散する恐れがあるため、WannaCry以上に非常にタチの悪いマルウェアといえるでしょう。

　ロシアのセキュリティ企業、カスペルスキーでは、「NotPetyaは金銭目的のランサムウェアではなく、破壊目的の『ワイパー』（データ消去目的のマルウェア）だ」と指摘しています。暗号化されたMFTを元に戻すはずの鍵情報がなく、ランダムな文字列にすぎないというのがその根拠です（ExPetr/Petya/NotPetya：ランサムウェアではなくワイパー）。

　ランサムウェアやワイパーといった破壊型のマルウェアは、情報を盗み出す標的型攻撃などに比べ、感染してしまった時点で「負け」になります。標的型攻撃が話題になったときには、たとえ入口はすり抜けられても遠隔操作を行う不正ホストとの通信を見つけ出し、出口で食い止めよう、というアプローチが注目を集めましたが、それでは間に合わないのも頭が痛いところです。