アジアのIT企業を標的とする新種のランサムウェア

これまで文書化されていなかった「Spirals」というランサムウェアが、アジアのIT企業への攻撃で確認された。調査官が脅威アクターを専用のオニオンサイトまで追跡したところ、攻撃者は自らのマルウェアを「Spirals」と呼んでおり、研究者がこれまで水面下で活動していた脅威に名称を付ける手がかりとなった。

感染システムに残される身代金要求のメッセージは直接的で、6日以内に支払わなければ、攻撃者は盗んだデータを公開すると警告する。被害者は、条件を非公開で交渉するためにTorベースのポータルへ誘導される。これは典型的な二重脅迫の手口であり、攻撃者はファイルをロックするだけでなく、暗号化を開始する前に機密データのコピーを窃取し、被害者に対して2つの別々の圧力手段を持つことになる。

初期の報告は単一のIT企業に焦点を当てているが、明らかになった戦術（名称付きのオニオンリークサイト、厳格な期限、匿名の交渉チャネル）は、現代の多くのランサムウェア事業が恐喝ビジネスを運営する方法と一致している。そのため、Spiralsは、これまで標的としてきたセクターから大きく離れた組織にとっても、理解する価値のある脅威となっている。

攻撃の連鎖内部：侵害からTorを用いた恐喝まで

二重脅迫攻撃は一般に予測可能な流れをたどる。攻撃者はまず、フィッシングや露出したリモートアクセスサービス、窃取した認証情報などを通じてネットワークへのアクセスを得る。侵入後は、重要なデータやシステムを特定するために横展開し、機密ファイルのコピーを外部へ持ち出してから、ようやく被害者を自身のシステムから締め出す暗号化ペイロードを実行する。

Spiralsを際立たせているのは、その最終段階の速度だ。別の技術分析によると、Spiralsランサムウェアは24時間以内にネットワーク全体を暗号化できることが示されており、この速度は既存の多くのランサムウェアファミリーを凌駕する。そのスピードが、重要システムが暗号化でロックされる前に防御側が侵入を検知・封じ込めなければならない時間窓を圧縮しており、まさに現実の感染時における対応時間が極めて重要である理由だ。

暗号化が完了すると、被害者にはTorポータルへの誘導を含む身代金要求メモが残される。盗んだデータを公開するまでの6日間の猶予は、法務顧問やインシデント対応者、法執行機関を交えた慎重かつ組織的な対応を許さず、迅速な決断を強いるための脅迫手法だ。

攻撃者が交渉にTorを使う理由と、それが保護しないもの

Torは、交渉ポータルやリークサイトを運営するランサムウェアオペレーターにとって自然な選択肢だ。ネットワークは複数の中継を経由してトラフィックを転送するため、サイト運営者の物理的な場所や身元を追跡するのが難しい。恐喝をビジネスとして運営する犯罪グループにとって、その匿名性によって、公開向けのリークサイトや非公開の交渉チャットを、テイクダウン活動に即座に晒すことなくホストできる。

しかし、こうしたシナリオでTorの匿名性が何を達成し、何を達成しないのかを明確にしておく価値はある。それは攻撃者の身元と居場所を保護するものであり、被害者のデータを守るものではない。ファイルがすでに持ち出されてしまえば、Tor交渉チャネルの存在は、機密情報がすでに被害者の制御の外にあるという根本的な事実を変えはしない。匿名チャネルを通じて身代金を支払っても、盗まれたデータが実際に削除され、売却されたり後日流出したりしない保証は一切ない。匿名化ツールは攻撃者のオペレーションセキュリティに資するだけで、被害者のデータを復元したり、侵害を元に戻したりするものではない。

防御策：バックアップ、ネットワーク分割、インシデント対応

Spiralsの事例から得られる実際の教訓は、Torそのものではなく、攻撃が始まる前の耐障害性にある。二重脅迫ランサムウェアに対して決定的な差を生むいくつかの対策を以下に示す。

  • 暗号化されたオフラインバックアップ: 本番ネットワークから隔離され、進行中の侵入から到達・改変できないバックアップは、身代金を支払わずに復旧するための最も信頼できる方法の1つである。
  • ネットワーク分割: 初期侵害後に攻撃者が横展開できる範囲を制限することで、単一の足がかりがネットワーク全体の暗号化事態に発展するのを防げる。Spiralsのような系統の拡散速度を考えると特に重要である。
  • 迅速な検出と対応: 文書化された暗号化タイムラインが24時間未満であることを踏まえると、最初の侵入から完全なロックダウンまでの間にはわずかな猶予しかない。異常なデータ転送や権限昇格を監視することで、防御側が暗号化開始前に介入できる可能性が高まる。
  • インシデント対応計画: 法務、コミュニケーション、技術対応の役割を含む事前に策定された計画があれば、6日間のカウントダウンのプレッシャーの中で組織が性急な決断を下すのを防げる。

これがあなたにとって意味すること

ほとんどの読者がランサムウェアのTor交渉ポータルに直接接することはないだろうが、Spiralsの事例は、これらの攻撃がどのように構成され、双方にとってなぜスピードが重要であるかを再認識させる有益なものだ。ITプロバイダーであれデジタルインフラに依存するあらゆる企業であれ、機密データを扱う組織であれば、二重脅迫ランサムウェアのTor戦術への曝露は業種を問わず現実のものだ。中核的な防御策は、攻撃者による匿名化ツールの利用と戦うことではなく、自社のデータとシステムに十分な耐障害性を持たせ、暗号化も情報漏洩の脅迫も意味のある圧力手段にならないようにすることである。

実行に移すべきポイント

  • オフラインで暗号化されたバックアップを維持し、存在確認だけでなく、復元速度について定期的にテストする。
  • 単一の侵害エンドポイントが全体の暗号化に波及しないようにネットワークを分割する。
  • 暗号化活動だけでなく、異常なデータ持ち出しを警告できる検出ツールに投資する。
  • 今すぐインシデント対応計画を策定し、身代金の期限中に慌てて決断することがないようにする。
  • 24時間以内の暗号化タイムラインの技術的詳細を読んで、Spiralsがネットワークをどれだけ迅速に暗号化できるかを確認し、対応の猶予が実際にどれほど狭いかを正確に理解する。