マルウェアを省いたBitLockerランサムウェア攻撃

セキュリティ研究者が、従来のランサムウェア開発に対する不気味な近道を見つけた新たな恐喝グループを特定した。攻撃者は独自の暗号化マルウェアを作成する代わりに、Windowsに標準搭載されたディスク暗号化機能であるBitLockerを利用し、被害者を自身のファイルから締め出す。ドライブがロックされた後、このグループは最もアナログな方法で攻撃を通知する。つまり、オフィスのプリンターに直接身代金要求書を印刷するのだ。

信頼されたWindowsの機能と、物理的で目の当たりにする通知方法の組み合わせは、恐喝活動の運用手法における顕著な変化を示している。また、長年エンドポイントを悪意のある実行可能ファイルから防御してきたITチームに、難しい疑問を投げかける。当初は危険と見なされなかったツールを使用する攻撃者に、今や直面しているからだ。

攻撃者がBitLockerを武器化して被害者を締め出す方法

BitLockerは、ノートPCやドライブが紛失・盗難された場合にデータを保護するために設計された、正規のMicrosoft提供の暗号化ツールである。最近のほとんどのWindowsに付属しており、世界中のIT部門から信頼されている。その信頼こそが、すでにネットワークへの管理者アクセス権を取得した攻撃者にとって有用な武器になる理由だ。

アンチウイルスが検出する可能性のある特製の暗号化ペイロードを展開する代わりに、この恐喝グループは単に被害者のドライブに対してBitLockerを有効にし、回復キーを人質にとる。結果はランサムウェア感染と機能的に同一だ。ファイルにアクセスできなくなり、システムは停止し、組織は本来ずっと管理下にあるはずのキーのために交渉を強いられる。BitLockerはネイティブでデジタル署名されたMicrosoftのコンポーネントであるため、既知の悪意あるシグネチャの検出に依存するセキュリティツールは、ほとんど介入する理由がない。

身代金要求書を印刷することが新しい恐喝戦術を示す理由

従来のランサムウェアグループは、通常、デスクトップにテキストファイルを残すか、支払いを要求するロック画面を表示する。このグループは代わりに、身代金要求をネットワークプリンターに直接送信し、従業員が休憩室や自席で発見する物理的な文書を生成する。

この戦術は、技術的な高度さよりも心理的な要素が大きい。印刷された要求書はポップアップウィンドウよりも無視しにくく、ITスタッフだけでなく建物内の全従業員に組織が侵害されたことを知らせる。これは、被害者に迅速な支払いを強いるために設計された、公共性があり具体的なエスカレーションであり、キーボードを超えた型破りな圧力戦術を試す恐喝グループの広範な傾向を反映している。FBIは以前、同様に創造的なアプローチについて警告しており、例えばSilent Ransom Groupが法律事務所でITスタッフになりすまして物理的に接触したケースがあり、これは恐喝開始前に必要なアクセス権を得るためのものだった。

検出を回避する「土地を利用した」攻撃のリスク

セキュリティ専門家はこのアプローチを「土地を利用した（living off the land）」攻撃と呼ぶ。新しい検出可能なマルウェアを持ち込む代わりに、標的システムに既に存在するソフトウェアやユーティリティを使用することだ。BitLockerの悪用は典型的な例である。このツールはMicrosoftによって署名されており、企業端末で実行されることが想定されているため、そのアクティビティは通常、未知の実行可能ファイルと同じアラームをトリガーしない。

これこそが、シグネチャベースのアンチウイルスや、明らかに悪意あるファイルを検出するように調整されたエンドポイント検出に主に依存する組織にとって、この戦術が危険な理由である。攻撃者が暗号化を有効にして回復キーを保持するために必要な管理者権限を既に持っている場合、この攻撃は標準のWindows機能だけを使用して展開できるため、手遅れになるまで正当なITアクティビティと区別することがはるかに難しくなる。

組み込みツールの悪用に対するWindowsシステムの防御強化

この種の攻撃から防御するには、「どのソフトウェアが実行されているか」から「誰がそれを実行する権限を持っているか」へと焦点を移す必要がある。いくつかの実践的なステップが重要だ。組織は、どのアカウントがBitLocker設定を有効化または変更できるかを厳格に制限し、回復キーがローカル管理者権限を持つ者のみがアクセスできる状態ではなく、Active DirectoryまたはAzure ADに自動的にエスクローされるようにすべきだ。特に通常のメンテナンス時間外の予期しないBitLocker有効化イベントを監視することで、マシン全体での暗号化が完了する前に進行中の攻撃を捉えることもできる。

BitLockerにとどまらず、根本的な教訓は特権管理にある。常時の管理アクセスを制限し、ネットワークをセグメント化し、オフラインでテスト済みのバックアップを維持することで、攻撃者がファイルをロックするために最終的に悪用するツールに関係なく、攻撃者が足がかりを得た際の影響範囲を縮小できる。

これがあなたにとって意味すること

一般ユーザーにとって、この特定のBitLockerランサムウェア攻撃は、攻撃者がネットワークへの管理者アクセス権を既に持っていることを前提とするため、主に企業の関心事である。しかし、アカウントセキュリティが弱い場合、保護のために構築された暗号化ツールが自分自身に対して使用される可能性があることを改めて認識させる良い教訓だ。IT管理者や小規模ビジネスオーナーにとって、得られる教訓はより直接的だ。システム上の暗号化設定を管理できるユーザーを確認し、回復キーが攻撃者の手の届かない場所にバックアップされていることを確認し、予期しない暗号化イベントをマルウェアアラートと同じ緊急度で扱うことだ。

重要なポイント

このインシデントは、恐喝グループがカスタムマルウェアから正当なツールの悪用と型破りな圧力戦術へと移行するパターンに当てはまる。これは、Silent Ransom GroupがITスタッフになりすましたケースでも見られた傾向で、攻撃前に信頼されるアクセス権を得るためのものだ。侵入経路が偽の電話であれ、侵害された管理者アカウントであれ、防御策は同じである。強力なアクセス制御、監視された管理者アクティビティ、そして攻撃者の善意に依存しないバックアップだ。組織のBitLockerキー管理とエンドポイント監視を見直すのは、プリンターから身代金要求書が出てきた後よりも、今のうちに行う方がはるかに良いタイミングである。