ITPro EXPO 2017 ランサムウェアの脅威と対策 · ITPro EXPO 2017 ランサムウェアの脅威と対策 2017年10月独立行政法人情報処理推進機構...

ITPro EXPO 2017

ランサムウェアの脅威と対策

2017年10月独立行政法人情報処理推進機構

技術本部セキュリティセンター

山﨑知嗣

ランサムウェアの脅威

Copyright © 2017 独立行政法人情報処理推進機構


ランサムウェアとは

Ransom（身代金）

Software（ソフトウェア）＋

Ransomware（ランサムウェア）Ransomware（ランサムウェア）



パソコンの利⽤に制限をかけられる

・MBR*を暗号化され、操作できなくなる

・ファイルを暗号化され、開けなくなる

制限解除のためのメッセージが表⽰される

・派手な脅迫画面を表示する

ランサムウェアに感染すると・・・

ファイル暗号化型

MBR暗号化型

・仮想通貨(Bitcoinなど)を支払うよう要求する

* : Master Boot Recordの略



ランサムウェアの感染経路

メールからの感染・メール本文に記載されたURLからアクセスすることで感染

・メールの添付ファイルを開くことで感染

ウェブサイトからの感染・改ざんされた正規のウェブサイトを閲覧することで感染

・不正広告を閲覧することで感染

・ダウンロードしたファイルを開くことで感染




メールからの感染

・メールの添付ファイルを開くことで感染

ウェブサイトからの感染・改ざんされた正規のウェブサイトを閲覧することで感染

・不正広告を閲覧することで感染

・ダウンロードしたファイルを開くことで感染

・メール本文に記載されたURLからアクセスすることで感染




ネットワークからの感染・ネットワークに繋がっているだけで感染

⇒ WannaCryptor, Petya亜種



ランサムウェアの種別例

Locky

・ファイル暗号化型

・メール（添付ファイル）で拡散

・違和感のない⽇本語

・2016年2⽉ごろから国内で拡散




WannaCryptor

・ファイル暗号化型

・2017年5⽉中旬に世界中で被害が拡散

・今まで⾒られなかった「⾃⼰増殖型」

・⽇本語を含めた多⾔語に対応




WannaCryptor

・Windows Updateができていなかった。

・メール(添付ファイル含めて)を開いていない。怪しいサイトに接続していない。

・パソコンはモデムに直結していた。携帯電話回線を利⽤したパソコンだった。

IPAに寄せられた相談で確認できたこと

・安心相談窓口だより「 WannaCryptorの相談事例から学ぶ一般利用者が注意すべきセキュリティ環境」

https://www.ipa.go.jp/security/anshin/mgdayori20170713.html




Petya亜種

・端末ロック型

・WannaCryptorの⼿⼝を模倣+ PsExecやWMIC*といった正規のWindowsツールも利⽤

・2017年6⽉下旬に、欧州各国を中⼼に感染被害を確認

* : Windows Management Information Command-lineの略



・2017年1月、ワシントン警察の防犯カメラのストレージ内データが暗号化され、システムが使えなくなった

・市内全域で、ストレージデバイスの約70%が感染

・公共の場に設置された187台のうち、123台が記録できず

・Washington Post https://www.washingtonpost.com/local/public-safety/hackers-hit-dc-police-closed-circuit-camera-network-city-officials-disclose/2017/01/27/d285a4a4-e4f5-11e6-ba11-63c4b4fb5a63_story.html

ランサムウェア感染事例



・2016年7月〜8月

・神戸大学の業務用PC2台とNAS内ファイルが暗号化

・外部サーバとの不正な通信が行われているという指摘より判明

・拡張子は「zepto」に書き換えられていた


・Security NEXT 複数端末がマルウェア感染、ランサムウェア被害も - 神戸大

http://www.security-next.com/073677



ランサムウェアの感染デモ（動画）

・動画はこちら

⇒ 安心相談窓口だより「IPAに寄せられているランサムウェアの相談について」


ランサムウェアへの対策


ランサムウェアの対策

ランサムウェア感染による被害を防ぐため

１．セキュリティソフトを導入する

２．OSおよび利用ソフトウェアを最新の状態にする

３．メールの添付ファイル、本文中のURLに注意する

４．重要なファイルを定期的にバックアップする

⼀般的なウイルス対策が有効！



暗号化されたファイルを元通りにすることは⾮常に困難

復号ツールが提供されていないケースが多い…

暗号を解く鍵は攻撃者が持っている…？



バックアップ媒体

定期的なバックアップを推奨



バックアップにおける留意事項

ネットワークドライブ

USBメモリ

クラウド上のデータ

外付けHDD






１．バックアップに使用する装置・媒体は、バックアップ時のみパソコンと接続する。

２．バックアップに使用する装置・媒体は複数用意し、バックアップする。

３．バックアップから正常に復元できることを定期的に確認する

通常時はランサムウェアの暗号化対象にならないように、パソコンと接続しないこと。

バックアップファイルが暗号化される危険性や、失敗する可能性も考慮し、複数バックアップを取得すること。

バックアップから復元できなければ意味がない。バックアップデータに問題ないことを、常に意識すること。




NoMoreRansom プロジェクト

・ランサムウェア対策特設ページhttps://www.ipa.go.jp/security/anshin/ransom_tokusetsu.html

・ランサムウェアで暗号化されたファイルを復号するツールの調べ⽅https://www.ipa.go.jp/security/anshin/tips/nmr_toolnavi.html


情報セキュリティマネジメント試験

◆試験実施⽇◆

・個⼈情報を扱う全ての⽅・業務部⾨・管理部⾨で情報管理を担当する全ての⽅

◆受験をお勧めする⽅◆

IT利⽤部⾨の情報セキュリティ管理の向上に役⽴つ国家試験あらゆる部⾨で必要な、情報セキュリティ管理の知識を体系的に習得できます。

年2回実施（春期・秋期）春期： 4⽉第三⽇曜⽇秋期：10⽉第三⽇曜⽇

パソコンを利⽤して受験するCBT⽅式なので、都合の良いときに受験可能！お申込みはｉパスWebサイトで常時受付中！

(

うえみね

あい)

すべての社会⼈・学⽣「ｉパス」は、ITを利活⽤する

が備えておくべきITに関する基礎的な知識が証明できる国家試験です。

試験の主なメリット

仕事に役⽴つセキュリティに強くなる就職に役⽴つ

戦略、財務等幅広い出題

セキュリティを積極出題

エントリーシート等活⽤

公式キャラクター

上峰

亜衣


ご参考

ランサムウェアに関するその他公開情報

2015年6⽉の呼びかけ「パソコン内のファイルを⼈質にとるランサムウェアに注意！」

http://www.ipa.go.jp/security/txt/2015/06outline.html

2016年1⽉の呼びかけ「ランサムウェア感染被害に備えて定期的なバックアップを」

http://www.ipa.go.jp/security/txt/2016/01outline.html

http://www.ipa.go.jp/security/topics/alert280413.html

【注意喚起】 ※2016年4⽉「ランサムウェア感染を狙った攻撃に注意」


ご参考

ランサムウェアに関するその他公開情報

2017年1⽉テクニカルウォッチ「ランサムウェアの脅威と対策」

https://www.ipa.go.jp/security/technicalwatch/20170123.html



個⼈

ランサムウェアに暗号化される脅威

法⼈/組織



個⼈法⼈/組織

ランサムウェアに暗号化される脅威



・Itmediaランサムウェアに感染した病院、身代金要求に応じる

http://www.itmedia.co.jp/enterprise/articles/1602/19/news063.html


・米ロサンゼルスの病院内システムがランサムウェアに感染してダウン

・病院側はやむなく要求に応じて、身代金40ビットコイン（1万7000ドル相当）を支払う。

・幸い、患者の診療には影響がなかった



31

・サンフランシスコ市交通局(SFMTA)が運営する「サンフランシスコ市営鉄道(Muni)」の公共システムが暗号化

・券売機が稼動せず、乗客のため改札を無料で開放

・7万3000ドル(約810万円)の身代金を要求してきた

・The San Francisco Examinerhttp://www.sfexaminer.com/alleged-muni-hacker-demands-73000-ransom-computers-stations-restored/




Webサーバを狙った攻撃

RDP*経由

Webサーバ

・パスワードの強度が不十分？・辞書攻撃？

ランサムウェアに感染！！

* : リモートデスクトッププロトコルの略

・Webサーバのランサムウェア感染被害

・RDP接続可能な環境

・脆弱性を確認できず

・ランサムウェアの種類は様々Dharma,Purge…

詳細は安⼼相談窓⼝だよりでまとめてます


ITPro EXPO 2017 ランサムウェアの脅威と対策 · ITPro EXPO 2017 ランサムウェアの脅威と対策 2017年10月 独立行政法人情報処理推進機構...

Documents

ITPro EXPO 2017 ランサムウェアの脅威と対策 · ITPro EXPO 2017 ランサムウェアの脅威と対策 2017年10月独立行政法人情報処理推進機構...