Barracuda Threat Spotlight（バラクーダが注目する脅威）: ランサムウェア
トピック: コロナウィルス（COVID-19）、ランサムウェア対策
2020年8月27日、Fleming Shi
攻撃者は政府機関、医療機関、および教育機関にランサムウェア攻撃を実行しています。米国大統領選挙が近いため、攻撃の増加が予想されているだけでなく、攻撃者は、このような機関に大規模な損害を及ぼすために、コロナウィルス（COVID-19）パンデミックとリモートワークを悪用しています。ランサムウェア攻撃は、20年以上、実行されていますが、最近、急速に拡大しています。
過去12か月間、バラクーダの調査担当者は74件のランサムウェアインシデントを検出および分析しました。昨年、地方自治体に対するランサムウェア攻撃に関する詳細な調査から、攻撃者が地方自治体を好んで攻撃していることが判明しました。現状も依然として同様です。今年調査されたランサムウェア攻撃のほとんどは地方自治体、学校、図書館、裁判所などの機関に実行されています。今年の分析は現在のパンデミックの間の肉体的健康、経済的持続可能性、および景気回復に不可欠な2つの業界である医療機関と物流会社に関するデータも含んでいます。
最新のランサムウェア攻撃を検出および防止し、攻撃から回復できるように、攻撃とソリューションについて詳細に説明します。
主要な脅威
ランサムウェア: 攻撃者は、ネットワークを悪意のあるソフトウェアに感染させ、ランサム（身代金）が支払われるまで、メール、データなどの重要なファイルをロックするために、このようなソフトウェアを添付ファイルまたはリンクとして配信します。このような進化する高度な攻撃によって、大きな損害が生じます。また、日常のビジネスが中断し、混乱が生じ、ダウンタイム、ランサムの支払、復旧コストなどの予算外および予想外の費用による金銭的損害につながる可能性があります。
現在のパンデミックによって、非常に多くの従業員が在宅勤務しています。このような急速で大規模なリモートワークへの移行によって、攻撃者は以前より大規模な攻撃サーフェスを獲得しています。従業員の自宅のネットワークのセキュリティは脆弱であるため、攻撃者が、このようなネットワークに侵入し、企業のネットワークに移動し、ランサムウェア攻撃を実行することは、以前より簡単になっています。
詳細
攻撃者が、地方自治体を激しく攻撃しており、攻撃に成功していることは明らかです。一方、現在、攻撃者は教育機関と医療機関に対する攻撃にも注力しています。現在のパンデミックに関連するさまざまな攻撃が広く報告されているため、医療機関に対する着実な攻撃は意外ではありません。
高等教育機関などの教育機関に対する攻撃では、医療研究情報だけでなく、個人情報と医療記録も盗み出されています。Florida Orthopaedic InstituteとUofSC School of Medicine（米国サウスカロライナ大学医学部）はニュースに取り上げられた2つの有名な事例です。Florida Orthopaedic Instituteは集団訴訟を起こされ、UofSC School of Medicineは110万ドルのランサムを支払いました。
物流会社に対する攻撃も増加しています。今年の7月以降、6回の有名なランサムウェア攻撃が調査されました。このような物流会社に対する攻撃によって、ME（医療機器）、PPE（個人用防護具）、日常製品などの物流は大きく妨げられる可能性があります。トール・ホールディングスは3か月間で2回の攻撃を受けました。この事実からは、攻撃者が、複数回の攻撃を実行するために、戦略を変更しており、脆弱であるとすでに確認されている物流会社を重点的に攻撃していることがわかります。
増加するランサムの金額
増加しているものは攻撃だけではありません。ランサムの金額と支払事例も増加しています。現在、ランサムは支払われる可能性が高く、その要求金額は100万ドルを超過する場合が多いです。調査事例の14%はランサムを支払ったことが確認されており、その平均金額は165万2,666ドルです。極端な例では、ガーミンは1000万ドルのランサムを支払ったと報告されています。
地方自治体もランサムを支払っています。バラクーダが調査した地方自治体の15%は4万5,000～25万ドルのランサムを支払ったことが確認されています。このようなすべての地方自治体は、人口が5万人未満であり、ランサムウェア攻撃から手動で回復するためのコストと労力を高すぎると見なしました。今年は、ほとんどの地方自治体が攻撃を受けてもランサムを支払わなかった昨年と比較すると、大幅に変化しています。
今年ランサムを支払った1つの地方自治体は米国コロラド州ラファイエットです。ラファイエットのJamie Harkins市長のビデオ声明: 状況とコストを徹底的に検証し、住民サービスが長期にわたって停止する不便の可能性を検討した後、復号化ツールを入手する方がデータとシステムを再構築するためのコストと時間よりはるかに重要であると判断しました。
攻撃者は、データを盗み出し、ファイルを暗号化し、ランサムを要求するだけでなく、盗み出したデータを公開すると受信者を脅迫して、金銭を要求しています。このようなデータによって、受信者は公共の場で恥をかき、法的問題に直面し、重い罰金を科される可能性があります。現在、多くの攻撃者は、攻撃の効果を倍増するために、ランサムウェア攻撃とデータ侵害を組み合わせて実行しています。調査事例の41%はランサムウェア攻撃とデータ侵害の組み合わせです。受信者がランサムを支払わないと、受信者のデータは、攻撃者のサーバにダンプされるか、ダークWebでオークションされます。
攻撃者は、さらに大規模な攻撃を実行し、さらに多くの受信者をだますために、攻撃能力を向上しています。6月、バラクーダのデータから、有名なボットネットがAvaddonによる8万回以上のランサムウェア攻撃に悪用されたことが判明しました。
ランサムウェア攻撃の防止
急速に進化するメール攻撃環境には、セキュリティを最大限に強化し、高度なランサムウェア攻撃を受けるリスクを最小限に抑制するために、技術と人間の間の差を縮めるなど、従来のゲートウェイを上回る高度なインバウンドおよびアウトバウンドセキュリティ技術が必要です。
スパムフィルタ/フィッシング検出システム
多くの悪意のあるメールは説得力のあるものに見えますが、スパムフィルタ、フィッシング検出システム、および関連するセキュリティソフトウェアは、微妙な手がかりを検出し、脅威の可能性のあるメールと添付ファイルが受信ボックスに侵入しないように防止できます。
高度なファイアウォール
ユーザが悪意のある添付ファイルを開くか、ドライブバイダウンロードへのリンクをクリックすると、マルウェアを分析できる高度なネットワークファイアウォールが、バイパスしようとする実行可能ファイルを警告して、攻撃を防止できます。
マルウェア検出
悪意のあるドキュメントが添付されたメールの場合は、スタティック分析とダイナミック分析の両方によって、ドキュメントが実行可能ファイルをダウンロードおよび実行しようとしている可能性を検出できます。ヒューリスティックシステムまたは脅威インテリジェンスシステムを使用すると、実行可能ファイルのURLを警告できる場合が多いです。また、難読化がスタティック分析によって検出されると、ドキュメントが疑わしい可能性も検出できます。
ブラックリスト
IPアドレス空間がますます制限されているため、攻撃者は自分のインフラストラクチャをますます使用しています。同じIPアドレスが、ソフトウェアによって検出され、ブラックリストに追加されるほど長期間、使用される場合が多いです。Webサイトがハッキングされて、ボットネットが存在しても、大量のスパムが検出されると、IPアドレスによる攻撃を一時的に防止できます。
セキュリティ意識トレーニング
エンドユーザが攻撃を検出および防止できるように、フィッシングシミュレーションをセキュリティ意識トレーニングの一環として行ってください。その時点で必要なトレーニングの効果をテストし、攻撃を最も受けやすいエンドユーザを評価して、エンドユーザを潜在的な標的から「セキュリティレイヤ」に変えましょう。
バックアップ
ランサムウェア攻撃が実行されても、ファイルが物理デバイス、仮想環境、パブリッククラウドのいずれに存在するかに関係なく、クラウドバックアップソリューションは、ダウンタイムを最小限に短縮し、データ損失を防止し、システムを迅速にリストアできます。バックアップがランサムウェア攻撃の影響を受けないように、ファイルの3つのコピー（オリジナルと2つのバックアップ）を2タイプのメディアに保存し、バックアップの1つをオフサイトに保存するという3-2-1ルールに従うことが理想的です。
原文はこちら：
Threat Spotlight: Ransomware
August 27, 2020 Fleming Shi
https://blog.barracuda.com/2020/08/27/threat-spotlight-ransomware/
No comments yet.