BlackBerry が Contiランサムウェアを阻止

本ブログ記事は、2021年5月19日に米国で公開されたBlackBerryのブログ記事の抄訳版です。原文はこちらからご覧頂けます。

何が起きていたのか

Conti というランサムウェアは、先日、世界中の組織を攻撃したことでニュースに取り上げられました。その「Conti Gang」と呼ばれるランサムウェアオペレーターは、最近の DarkSide RaaS（ランサムウェア・アズ・ア・サービス）とよく似た別の RaaS を運用しています。このオペレーターは、攻撃者を募集し、利益の分配と引き替えにランサムウェアを配布させています。REvil などの他のランサムウェアギャングと同様、二重脅迫という戦術を使っており、機密情報を抜き出してから暗号化を始めます。次に、被害者がすぐに身代金を払うよう、盗んだ機密情報を公開する、またはダークウェブで販売すると脅迫するのです。

Conti はしばらく前から世に出回っています。2020 年の半ばに始めて発見されたときには、当時世界中で医療機関やその他の産業に感染を続けていた Ryuk というランサムウェアと同じコードと手法を一部共有していました。

Conti は、洗練された攻撃技法と手動操作を組み合わせて、まずネットワークに侵入し、その後は水平移動しながら管理者の認証情報を手に入れようとします。認証情報を入手すれば、ランサムウェアの配布は可能になります。多くの場合、これが何らかの問題を示す最初の兆候となります。

企業は危険にさらされているのか

ランサムウェアギャングは、古くなったサイバーセキュリティ製品を使用しているユーザーを積極的に探して攻撃を仕掛けます。通常、こうした製品のソリューションでは、マルウェアのサンプルを入手してから、それを防ぐシグネチャを作成するというモデルを使用しているため、最新の洗練された攻撃に追従するのは困難です。

シグネチャが作成できても、企業ネットワーク全体に行き渡るには数時間から数日かかります。シグネチャはランサムウェアの特定のサンプルだけを阻止するように作られるため、悪意のあるファイルが少し変更されるだけで、実行の阻止が不可能になります。

この時間差によって、古いアンチウイルス製品に保護を頼っている組織は、従来のモデルに頼らないソリューションを使用している組織よりも高いリスクに晒されます。

最新の次世代 EPP（エンドポイント保護プラットフォーム）ソリューションを使っている場合でも、データの「回復」はできないと考えてください。Conti は、他のランサムウェアギャングと同じように、システム上のボリュームシャドーコピーのファイルを完全に削除し、単純な回復を不可能にします。　

BlackBerry は Conti を阻止できるのか

BlackBerry は Conti ファミリーの多数の変種をテストし、現行の BlackBerry® Protect で阻止できることを確認しています。ファイル実行の阻止には AI エンジンを使っており、更新ファイルやインターネット接続は不要です。実際、2015 年版以降の BlackBerry Protect で既知の変種の多くを阻止しています。