CryptoLocker
| 区分 | トロイの木馬 |
|---|---|
| 類型 | ランサムウェア |
| 亜類型 | 暗号ウィルス |
| 標的OS | Windows |
CryptoLocker（クリプト・ロッカー）はMicrosoft Windows[1]が動作しているコンピュータを標的にするマルウェア（トロイの木馬）であり、2013年9月にDell SecureWorksが発見した[2][3]。 感染経緯の一つとして正常な電子メール添付ファイルを装う場合がある。 感染した場合、マウントされたネットワークドライブやローカルに保存されている特定のタイプのファイルをRSA公開鍵暗号で暗号化する。 RSAの秘密鍵（復号鍵）はマルウェアのコントロールサーバーにしか保存されていない。そして、暗号化を解除してほしければ期限までに身代金（ビットコインやプリペイド決済）を要求する旨のメッセージが表示され、期限を過ぎたら秘密鍵を削除して解除不可能にすると脅迫する。また、マルウェア攻撃者が運営するオンラインサービスを経由して暗号化解除のために高額なビットコインを要求することもある。
CryptoLocker自体の除去は容易であるものの、ファイルは、研究者が解読ほぼ不可能と考えている方法で暗号化されたままとなる。 ファイルを修復する手段はなく、身代金を払う必要はないと言う人は多いが、バックアップしなかったファイルを修復するためには身代金を支払うしかないという人もいる。 それでも身代金を払ったからといって必ずしもファイルの暗号化が解除されるとは限らない。
2014年5月、CryptoLockerのネットワークがダウンし、攻撃者から被害者のデータベースが回収され、8月にはデータベースを使用することで身代金を払うことなくファイルの暗号化を復号できるようになった[4][5]。
手口
[編集]ウイルスの多くは発見したアンチウイルスメーカーによって命名されるため、企業によっては名称が異なることがある。しかしCryptolockerは命名したのは開発した攻撃者であり、感染時にその旨が表示されたり、レジストリキーにも使用されている[6]。ウィルススキャンがこの名前で識別する必要はなく、例としてESETはCryptoLockerをWin32/Filecoder.BQと識別しており[7]、他の同じようなマルウェアでも異なる添え字でファイルコーダー名が付けられる。他のスキャナでは他のランサムウェアと区別するためにRansomもしくはCriLockといった用語を含む名前が使われる[8]。
CryptoLockerは基本的に信頼できる企業からの送信を装った見た目では害のない電子メールに添付されるファイルとして標的に送信するか、既にトロイの木馬に感染していてボットネットが動いているコンピュータに侵入する[9]。電子メールに添付されたCryptoLockerのZIPファイルにPDFファイルを装ったファイル名とアイコンを設定した実行ファイルが格納されており、実体である.EXE拡張子を非表示にしているWindowsの設定を悪用している。いくつかの実例ではCryptoLockerがインストールされた次にZeusというトロイの木馬に感染している[6][10]。まずユーザープロファイルフォルダにペイロードが自身をインストールし、スタートアップで起動するためにレジストリにキーを追加する。その後、複数の指定のコマンド＆コントロールサーバーの1つにアクセスを試み、一度接続したらサーバーは2048ビットRSAキーペアを生成し、感染したコンピュータに公開鍵を送りつける[1][6]。サーバーはローカルプロキシになることができ、複数の国にわたって頻繁に再配置される他のサーバーを通ることで追跡を困難にしている[11][12]。
ペイロードは公開鍵が入ったハードディスクやマップされたネットワークドライブにあるファイルを暗号化し、レジストリキーに各暗号化ファイルを記録している。暗号化の標的はMicrosoft Office、OpenDocument、その他ドキュメント、画像ファイル、AutoCADのファイルなど特定の拡張子を持っているデータファイルである[10]。そして、ファイルを暗号化した旨のメッセージを表示し、72時間から100時間以内に400ドルかユーロを匿名のプリペイドキャッシュ支払い（例としてMoneyPakやUkash）、もしくは相応のビットコイン（当初は2BTCだったが、攻撃者がビットコインの価値変動を反映したことで0.3BTCに値下げしている）を支払うことを要求する[13]、さもなければサーバーにある秘密鍵を消去することで、「ファイルを復元することは一切不可能になる」としている[1][6]。もし身代金を支払った場合ユーザーの秘密鍵が事前にロードされた復号プログラムがダウンロードできるとしている[6]。しかし、複数の被害者によれば身代金を攻撃者に支払ってもファイルを復号することはできなかったと述べている[9]。
2013年11月、攻撃者はCryptoLockerのプログラムが無いファイルの復号や期限が過ぎた後に復号鍵を購入できるとされるオンラインサービスを立ち上げた。24時間以内に暗号化されたファイルをサンプルとしてサイトにアップロードし、一致するものを見つけると主張、一度見つかれば、ユーザーは鍵を買うことができるが、期限が過ぎると10ビットコインに値段が跳ね上がってしまう[14][15]。
対策
[編集]セキュリティソフトウェアはこのような脅迫行為を検知するようになっているが、未知な新しいバージョンの保護ソフトウェアが配布されてもCryptoLockerを一切もしくは暗号化が進行中もしくは終わった後にしか検知できない[16]。もし初期段階で攻撃の兆候を掴んだり実際検出した場合、暗号化に時間がかかるためデータの破壊が完了する前にマルウェア（比較的単純な処理をする）を即刻除去することができるため[8][17]、専門家はソフトウェアや他のセキュリティポリシーを使ってCryptoLockerのペイロードを起動時にブロックする方法を提唱した[1][6][10][12][17]。シマンテックによれば感染したユーザーの3%が身代金を払ったと推定している[12]。
CryptoLockerの運用環境を考えるに、複数の専門家は不本意ながらバックアップを取っていない場合（特にネットワークを通した感染があり得ないためCryptoLockerの心配がないオフラインバックアップ）はファイルを修復するためには身代金を払うしかないと述べている[9]。また、CryptoLockerが用いる鍵の長さから、専門家は、支払い無しでファイルを復元するために必要な鍵を入手するために総当たり攻撃することは現実的に不可能であるとも述べている。同様の例として、2008年に発生した、1024ビット鍵を使用するGpcode.AKというウイルスは暗号を破ることに繋がる脆弱性を発見することや一致した分散努力無しで鍵を壊すことは計算上不可能とされている[6][15][18][19]。ソフォスのセキュリティアナリストであるポール・ダックリンもCryptoLockerによる暗号解除システムは鍵データベースを使って辞書攻撃を行っているとしている[15]。
2013年10月末、カスペルスキーはCryptoLockerが使ってるいくつかのドメインをブロックすることができるDNSシンクホールを製作したと発表した[20]。2014年8月、CryptoLockerのネットワークが崩壊し、ユーザーはファイルを復元できるようになった。
身代金
[編集]2013年12月、ZDNetは攻撃者がどのようにして身代金を得るかを追及するためにCryptoLockerに感染したユーザーが持つ4つのビットコインアドレスを追跡した。10月15日から12月18日にかけて4つのアドレスから41,928BTC（アメリカ合衆国ドルで約2700万ドル）が出金されていた[13]。ケント大学の調査によると、イギリス国民でCryptoLockerに感染した回答者の41%が身代金を払うことに合意したと予想をはるかに超える結果が出たとされ、シマンテックは3%、Dellセキュアワークスは0.4%と予想していた[21]。アメリカ合衆国においては感染者の身代金平均額は300ドルとされているが[22]、ネットワークが崩壊した後に出たデータの解析によれば感染者のうち身代金を払ったのは約1.3%で、バックアップを取っていた場合の多くはファイルを修復できており、その他は大量のデータを失ったと思われる。それでもなお、攻撃者は約300万ドル稼いだとも言われている[23]。
ネットワークの崩壊、ファイルの修復
[編集]2014年5月末、法執行機関とセキュリティ企業はトーバー作戦を実行し、CryptolockerとGameover Zeusを拡散するために乗っ取られていたコンピュータのネットワークを押さえるのに成功した。攻撃者は自身のデータベースを安全な場所に移そうとしたが、既にネットワークの一部を押さえていた機関によって傍受されていた。アメリカ合衆国のFBIはGameover ZeusとCryptolockerの攻撃者を取りまとめていたロシア人のEvgeniy Bogachev（通称lucky12345およびslavik）を逮捕した。データベースは攻撃の規模を示し、Cryptolockerによって暗号化されたファイルの復号を可能にするきっかけとなった。
同年8月、ネットワークの破壊に関わったセキュリティ企業であるFox-ITとFireEyeは50万人の感染者の暗号化されたファイルを修復することができるDecrypt Cryptolockerというポータルを立ち上げた[24]。被害者は機密情報を除く暗号化されたファイルを提出することで解除者は使用された暗号鍵を推測することができる。ただし、Cryptolockerで暗号化された全てのファイルが復元できるわけではなく、異なるランサムウェアで暗号化されたファイルを復元することもできない[4][23]。
亜種
[編集]CryptoLockerの影響により詐欺的手口でコンピュータに感染し、ファイルを暗号化して、復号してほしければ身代金を払えと要求するといった実質同じ手口で攻撃を行う亜種が続出した。まず、2013年12月に被害が広がったCryptoLocker 2.0というのがあり[7]、当初は変種と思われていた。しかし、表示は同じであるものの、Microsoft Visual C++ではなくC#で書かれており、ファイルのインストールは基本的に商用ソフトの不正使用やソフトウェアもしくはオペレーティングシステムのアクティベートを可能にするキージェネを生成するプログラムを装うP2Pサイトにアップロードしていて、トリプルDESアルゴリズムを使ったRSA-1024を使用しており、身代金の支払いはビットコインでのみの要求であり、メディアファイルまでも暗号化ている上、リムーバブルドライブ（USBスティックなど）を介して感染する。アナリストによれば、構造や動作が違うとしてCryptoLocker 2.0の作者はCryptoLockerの作者ではない思われるとしている[7][25]。
2014年2月にCryptoDefenseというランサムウェアの被害が広がった。これはWindows内蔵のAPIを使い2048ビット鍵を使ってファイルを暗号化し、500ドルをビットコインで要求する。シマンテックが発見したが、CryptoDefenseは設計上重大な欠陥があり、Windowsの暗号化APIを使用してるがゆえに誤って秘密鍵をコンピュータにあるユーザーのアプリケーションデータフォルダに保存されたままだったのにもかかわらず、攻撃者は毎月約38,000ドル稼いでいたと推測される[26][27]。シマンテックが欠陥を公表した後、CryptoDefenseの欠陥が修復されたのか、感染する以前の全てのシステム復元情報とシャドウコピーが除去されるようになり、2014年4月1日以降暗号化されたファイルを身代金なしで修復するには暗号化される前にオフラインバックアップを取るしかない。
他の亜種にはCryptoWallやCryptorBitがある[28][29]。
関連項目
[編集]脚注
[編集]- ^ a b c d “You’re infected—if you want to see your data again, pay us $300 in Bitcoins”. Ars Technica. 23 October 2013閲覧。
- ^ Jarvis, Keith. “CryptoLocker Ransomware”. Dell SecureWorks Threat Analyses. Dell SecureWorks. 18 Dec 2013閲覧。
- ^ Kelion, Leo (24 Dec 2013). “Cryptolocker ransomware has 'infected about 250,000 PCs'”. BBC 24 Dec 2013閲覧。
- ^ a b FireEye:Your Locker of Information for Cryptolocker Decryption, 6 August 2014
- ^ Swati Khandelwal. “Free CryptoLocker Ransomware Decryption Tool Released”. Thehackernews.com. 2014年8月8日閲覧。
- ^ a b c d e f g Abrams, Lawrence. “CryptoLocker Ransomware Information Guide and FAQ”. Bleeping Computer. 25 October 2013閲覧。
- ^ a b c “Cryptolocker 2.0 – new version, or copycat?”. WeLiveSecurity. ESET. 18 January 2014閲覧。
- ^ a b Cannell, Joshua. “Cryptolocker Ransomware: What You Need To Know, last updated 06/02/2014”. Malwarebytes Unpacked. 19 October 2013閲覧。
- ^ a b c “Cryptolocker Infections on the Rise; US-CERT Issues Warning”. SecurityWeek (19 November 2013). 18 January 2014閲覧。
- ^ a b c “Cryptolocker: How to avoid getting infected and what to do if you are”. Computerworld. 25 October 2013閲覧。
- ^ “Destructive malware "CryptoLocker" on the loose - here's what to do”. Naked Security. Sophos. 23 October 2013閲覧。
- ^ a b c “CryptoLocker attacks that hold your computer to ransom”. The Guardian. 23 October 2013閲覧。
- ^ a b Violet Blue (22 December 2013). “CryptoLocker's crimewave: A trail of millions in laundered Bitcoin”. ZDNet 2013年12月23日閲覧。
- ^ “CryptoLocker crooks charge 10 Bitcoins for second-chance decryption service”. NetworkWorld. 5 November 2013閲覧。
- ^ a b c “CryptoLocker creators try to extort even more money from victims with new service”. PC World. 5 November 2013閲覧。
- ^ The Yuma Sun, on a CryptoLocker attack: "... was able to go undetected by the antivirus software used by the Yuma Sun because it was Zero-day malware"
- ^ a b Leyden, Josh. “Fiendish CryptoLocker ransomware: Whatever you do, don't PAY”. The Register. 18 October 2013閲覧。
- ^ Naraine, Ryan (6 June 2008). “Blackmail ransomware returns with 1024-bit encryption key”. ZDnet. 25 October 2013閲覧。
- ^ Lemos, Robert (13 June 2008). “Ransomware resisting crypto cracking efforts”. SecurityFocus. 25 October 2013閲覧。
- ^ “Cryptolocker Wants Your Money!”. SecureList. Kapersky. 30 October 2013閲覧。
- ^ “Results of online survey by Interdisciplinary Research Centre in Cyber Security at the University of Kent in Canterbury”. kent.ac.uk. University of Kent in Canterbury. 25 March 2014閲覧。
- ^ Urroz, Jose. “CryptoLocker Critical Security Alert”. alvaka.net. Alvaka Networks. 25 March 2014閲覧。
- ^ a b BBC News: Cryptolocker victims to get files back for free, 6 August 2014
- ^ Decrypt Cryptolocker Web site
- ^ “New CryptoLocker Spreads via Removable Drives”. Trend Micro. 18 January 2014閲覧。
- ^ “CryptoDefense ransomware leaves decryption key accessible”. Computerworld. IDG. 7 April 2014閲覧。
- ^ Thomson, Iain (2014年4月3日). “Your files held hostage by CryptoDefense? Don't pay up! The decryption key is on your hard drive”. The Register. 2014年4月6日閲覧。
- ^ Cryptowall – the extended version of Cryptolocker, Cyberoam Threat Research Labs, (2014)
- ^ CryptoWall Virus, PCRisk.com, (2014)