セキュリティ研究者らは、Akiraランサムウェア集団の検出を特に困難にしている戦術について警鐘を鳴らしている。それは、正規のリモート監視・管理（RMM）ソフトウェアの悪用である。カスタムマルウェアだけに頼るのではなく、Akiraの関連組織はTeamViewerやAnyDeskのような広く信頼されているツールをますます利用して、侵害したネットワーク内部に足場を維持しつつ、エンドポイント検出・応答（EDR）システムをすり抜けている。

これはサイバー犯罪の世界では新しい概念ではないが、Akiraがこの手法を継続的かつ洗練された形で使用していることは、より広範な問題を浮き彫りにしている。すなわち、組織が正当なITサポートのために依存しているソフトウェアが、同様に簡単に攻撃者へのバックドアとなり得る一方で、従来のセキュリティツールはその違いを見分けるようには設計されていないことが多いのである。

正規のリモートアクセスツールが理想的な攻撃ベクトルとなる理由

RMMツールが存在するのには正当な理由がある。IT部門やマネージドサービスプロバイダーは、日常的にマシンのトラブルシューティング、アップデートの展開、リモート従業員のサポートにこれらを使用している。その正当性こそが、ランサムウェア事業者にとって非常に価値のあるものとなっているのである。

Akiraの関連組織が被害者のネットワークにTeamViewerやAnyDeskなどのツールをインストールまたは乗っ取ると、その結果生じる接続は、多くの場合、悪意のあるコマンド＆コントロールトラフィックではなく、通常の管理活動のように見える。未知の実行ファイルや異常なネットワークビーコンにフラグを立てるセキュリティソフトウェアでも、これらのツールはデジタル署名され、広く展開され、企業ポリシーによって完全にブロックされることは稀であるため、単にこれらの接続を通してしまうことがある。

このアプローチは「ランドを利用する（living off the land）」手法と呼ばれることもあるが、この場合、攻撃者はシステム上に既に存在するツールを単に使用しているわけではない。彼らは信頼されたサードパーティ製ソフトウェアを積極的に展開し、通常の業務運営に溶け込むことで、最初の侵入が発見され部分的に修復された後でも、ネットワークへの持続的かつ視認性の低いチャネルを確保しているのである。

初期アクセスだけでなく、持続性

この傾向が特に憂慮すべき点は、持続性の側面である。ランサムウェアグループは、必ずしも初期侵害から即座に暗号化に移行するわけではない。Akiraの関連組織は、複数の足場を確立するパターンを示しており、RMMツールは、たとえ一つの侵入口が遮断されても、時間をかけてアクセスを維持するための信頼できる方法を与えている。

これは、組織にとってインシデント対応の計算を変えるため重要である。攻撃者がサーバーやワークステーション上に正規に見えるリモートアクセスツールを静かに残し、いつでも再活性化できる状態にあるならば、既知のマルウェアを単に削除するだけでは不十分である。セキュリティチームは、予期しないまたは不正なリモートアクセスソフトウェアのインストールを軽微なポリシー違反ではなく、深刻な危険信号として扱う必要がある。

このグループの検出回避における技術的洗練度は以前にも記録されている。我々の報道で取り上げた事例の一つに、Akira関連組織のEDR回避試行が自身の攻撃をクラッシュさせるがあるが、Huntressの研究者らは、攻撃者がエンドポイント保護を無効にしようとした試みが裏目に出て、実行しようとしていた攻撃そのものを偶発的に妨害したことを発見した。この出来事は、Akiraの手法が高度である一方で、完璧ではないこと、そして注意深く監視する防御側が攻撃者の途中のミスを捉えることができることを思い出させるものである。

個人と企業にとってのプライバシー上のリスク

Akiraランサムウェアは主に個人消費者ではなく組織を標的としているが、下流のプライバシーへの影響は重大である。Akiraが企業のデータを正常に暗号化して持ち出すと、そのデータには顧客記録、従業員情報、財務詳細、および侵害に直接関与していない人々に属するその他の個人データが含まれていることが多い。

Akiraのようなランサムウェアグループは、暗号化とデータ窃取を組み合わせることが増えており、身代金が支払われなければ盗んだファイルを漏洩させると脅迫している。つまり、侵害された組織のシステムに個人情報が存在する人（顧客、患者、従業員など）は、自身の個人セキュリティ習慣がどれほど強固であっても、個人データが露出してしまう可能性があるのである。

あなたにとっての意味

あなたがITまたはセキュリティ運用に携わっているなら、この動向は、ネットワーク上で承認されているリモートアクセスツールを監査し、TeamViewerやAnyDeskのようなソフトウェアの不正なインストールを監視するよう直接求めるものである。エンドポイントに説明不能なリモートアクセスツールが出現した場合、未知のマルウェアと同じレベルの精査を引き起こすべきである。

一般ユーザーや消費者にとって、この教訓はより間接的ではあるが、依然として重要である。Akiraランサムウェア攻撃は、あなたが取引する企業が保有する個人データを露出させる可能性があるため、取引先からの侵害通知に注意を払い、自分の情報が関与している場合は迅速に対応する価値がある。

実践的な takeaways

組織は、ネットワーク上で許可されるリモートアクセスツールを制限し、それ以外のものについて警告を発するべきである。承認されたITワークフローの外でインストールされたRMMソフトウェアの監視は、攻撃者がこれらのツールを通常のトラフィックに溶け込ませることに依存しているため、極めて重要である。リモートアクセスアカウントへの多要素認証、インストール済みソフトウェアの定期的な監査、異常な外向き接続の綿密なレビューはすべて、Akiraランサムウェアまたは類似のグループが静かにアクセスを維持するリスクを低減するのに役立つ。個人にとっては、侵害通知に常に注意を払い、アカウント間で一意のパスワードを使用することが、依存する企業が標的になった場合の影響を抑える最も簡単な方法の一つであり続けている。