CryptoWallランサムウェアが60万台以上のコンピューターを人質に取り、50億のファイルを暗号化

研究者らの調査によると、ファイル暗号化ランサムウェアプログラム「CryptoWall」が過去6か月間で60万台以上のコンピュータシステムを感染させ、50億のファイルを人質に取り、作成者に100万ドル以上の利益をもたらしたという。

Dell SecureWorks の脅威対策ユニット (CTU) は、CryptoWall の広範な分析を実施し、コマンドアンドコントロール (C&C) サーバーからデータを収集し、その亜種と配布方法を追跡し、これまでに被害者が支払った金額を数えました。

CryptoWallは現時点で「インターネット上で最大かつ最も破壊的なランサムウェアの脅威」であり、今後も拡大し続ける可能性が高いと、CTUの研究者らは水曜日に調査結果を詳述したブログ記事で述べた。

この脅威は少なくとも2013年11月から広がりを見せていたが、今年の第1四半期までは、2013年9月から5月にかけて50万台以上のシステムに感染した別のランサムウェアプログラムであるCryptoLockerの影に隠れていた。

CryptoLockerは、暗号化されたファイルの復旧と引き換えに被害者に100ドルから500ドルの身代金を要求し、9ヶ月間の活動で作成者に約300万ドルの利益をもたらしたと推定されています。この脅威は、セキュリティベンダーの支援を受けた多国籍の法執行機関による作戦の結果、5月末に封じ込められました。

CryptoWall は、悪意のあるリンクや添付ファイル付きのスパムメール、エクスプロイトキットに感染したサイトからのドライブバイダウンロード攻撃、侵害を受けたコンピューターで既に実行されている他のマルウェアプログラムによるインストールなど、さまざまな戦術を使用した積極的な配布を通じて、ランサムウェア界に CryproLocker が残した空白を埋めました。

暗号ロッカーを模倣した暗号ウォール — Dell Secureworks の報告によると、CryptoWall (左) の初期バージョンは、実行と設計の両方で Cryptolocker (右) を模倣していました。

CryptoWall コマンドアンドコントロールサーバーは、すべての感染に一意の識別子を割り当て、それぞれに対して RSA 公開鍵と秘密鍵のペアを生成します。

公開鍵は感染したコンピュータに送信され、マルウェアによって、ローカルハードドライブや、Dropbox や Google Drive などのクラウドストレージサービスからのマップされたネットワーク共有に保存されている、一般的な拡張子 (映画、画像、ドキュメントなど) のファイルを暗号化するために使用されます。

RSA 公開鍵で暗号化されたファイルは、対応する秘密鍵でのみ復号化できます。秘密鍵は攻撃者の所有物のままとなり、身代金が支払われた後にのみ解放されます。

CTU の研究者は CryptoWall サーバーから固有のコンピュータ識別子を数えることに成功し、IP (インターネットプロトコル) アドレス、感染のおおよその時刻、支払い状況に関する情報も入手しました。

「2014年3月中旬から8月24日までの間に、約62万5000台のシステムがCryptoWallに感染しました」とCTUの研究者は述べています。「同じ期間に、CryptoWallは52億5000万件以上のファイルを暗号化しました。」

感染システム数が最も多かったのは米国で、253,521台（全体の40.6%）でした。次に感染が多かったのはベトナム（66,590台）、英国（40,258台）、カナダ（32,579台）、インド（22,582台）でした。

CryptoWall は通常、被害者にビットコイン仮想通貨で身代金を支払うよう要求しますが、初期の亜種では MoneyPak、Paysafecard、cashU、Ukash などのプリペイドカードを含む、より多くの支払いオプションが提供されていました。

被害者が当初の期限（通常は4日から7日）内に身代金を支払わない場合、身代金の額は増額されます。CTUの研究者は、200ドルから1万ドルの範囲で身代金が支払われたことを確認しており、その大半（64%）は500ドルでした。

「約62万5000件の感染のうち、1683人（0.27%）の被害者が身代金を支払い、6か月間で総額110万1900ドルが盗まれた」とCTUの研究者らは述べた。

これは、CryptoWallがCryptoLockerよりも10万台多いコンピュータに感染したにもかかわらず、作成者に利益をもたらすという点ではCryptoLockerの方が効果が低いことを示唆しています。研究者らは過去に、CryptoLockerの被害者の1.3%が総額300万ドルを超える身代金を支払ったと報告しています。

CTUの研究者らは、この成功率の違いはビットコインの入手における技術的な障壁によって説明できるかもしれないと述べている。CryptoLockerの場合、被害者の1.1%がMoneyPak経由で身代金を支払い、ビットコインを使ったのはわずか0.21%だった。

CTUの分析により、CryptoWallのサンプルと、Tobfyと呼ばれる古いランサムウェアファミリーのサンプルの間に類似点が見つかりました。両方の脅威の背後に同じ攻撃者がいるとすれば、彼らは少なくとも数年にわたるランサムウェア攻撃の経験を持っていることを意味します。