金曜日に発生した前例のないランサムウェア攻撃は、セキュリティ研究者が有効化させた「キルスイッチ」のおかげで、少なくとも一時的には、新しいマシンへの拡散が止まった可能性がある。
Wana Decryptor、またはWannaCryと呼ばれるこのランサムウェアは、世界中のマシンに感染していることが判明しています。このランサムウェアは、米国国家安全保障局（NSA）がスパイ活動に利用した可能性のあるWindowsの脆弱性を悪用して動作します。
このマルウェアはPC上のデータを暗号化し、データの復号と引き換えに300ドル相当のビットコインを要求する身代金要求のメッセージを表示します。身代金要求のメッセージの画像がTwitter上で拡散しています。セキュリティ専門家は、LANやインターネットを介してコンピュータワームのように拡散していると思われる数万件の攻撃を検出しています。
しかし、セキュリティ研究者によると、このランサムウェアにはキルスイッチも含まれており、それが開発者にとって逆効果となった可能性があるという。
Wana Decryptorは、まず未登録のウェブドメインへの接続を試みる悪意のあるプログラムを介してシステムに感染します。キルスイッチは次のように動作するようです。悪意のあるプログラムがドメインに接続できない場合、感染を続行します。接続に成功すると、プログラムは攻撃を停止します。
「MalwareTech」という名のセキュリティ研究者は、Webドメインを登録してそこにページを投稿することでキルスイッチを有効化できることを発見した。
マルウェアテックの当初の目的は、ランサムウェアが接続しているドメインを通じてその拡散を追跡することでした。「ドメインを登録したことで、感染の拡散が止まったという副作用が明らかになりました」と彼はメールで述べています。
マイケル・カン Wanna Decryptor ランサムウェアの身代金要求メッセージ。
セキュリティ企業のMalwarebytesとシスコのTalosセキュリティグループも同様の調査結果を報告し、キルスイッチが有効化されて以来、新たなランサムウェア感染は鈍化しているようだと述べた。
しかし、Malwarebytesの研究員であるジェローム・セグラ氏は、キルスイッチがWana Decryptor攻撃を完全に阻止できるかどうかを判断するのは時期尚早だと述べています。セグラ氏は、キルスイッチの問題を修正した、あるいは別のウェブドメインに接続するように設定された、同じランサムウェアの別バージョンが存在する可能性があると警告しています。
残念ながら、すでに Wana Decryptor に感染したコンピュータは感染したままになるだろう、と彼は述べた。
一部の研究者は当初、金曜日のランサムウェア攻撃は大規模なメールフィッシングキャンペーンを通じて最初に拡散したと考えていました。しかし、これはもはや当てはまらないようです。
Wana Decryptor自体は、他の典型的なランサムウェアと何ら変わりません。PCに感染すると、マシン上のすべてのファイルを暗号化し、解除と引き換えに身代金を要求します。
しかし、他のランサムウェアとは異なり、Wana Decryptorは急速に拡散するように設計されている。セキュリティ研究者がNSA由来と疑うハッキングツールを組み込むことで、拡散が加速する。このツールは先月オンライン上に流出した。
EternalBlueと呼ばれるこのハッキングツールは、パッチが適用されていない古いWindowsマシンを容易に乗っ取ることができます。Wana Decryptorは最初のマシンに感染すると、同じローカルネットワーク上の他のマシンへの拡散を試みます。そして、インターネットをスキャンして脆弱なマシンを探します。
「雪だるま式に感染が拡大していくのです」とセグラ氏は述べた。「まず数台のマシンが感染し、その後さらに多くのマシンに感染を広げようとします。」
セキュリティ企業アバストは、99カ国で7万5000件以上の攻撃を検知したと発表した。ロシア、ウクライナ、台湾などが最も大きな被害を受けた国だ。英国の国民保健サービスは、このランサムウェアの被害を受けた最大の組織の一つだった。
このランサムウェアは、英語、中国語、スペイン語を含む多数の言語で動作するように設計されており、それぞれの言語で身代金要求のメッセージが記載されている。
セグラ氏は、身代金を支払うことはハッカーの励みになるので、被害者は支払わないよう勧告した。代わりに、セキュリティ研究者がランサムウェアのコードを研究し、感染を解消するための無料の方法を見つけ出すまで、今後数日間待つべきだと彼は述べた。
マイクロソフトは金曜日、同社の無料ウイルス対策ソフトを実行しているか、最新のパッチをインストールしていれば、ユーザーはランサムウェアから保護されると述べた。
この記事の元の11段落目は、ランサムウェアがフィッシングメールキャンペーンを通じて拡散されたという最初の報道を否定するため変更されました。元の12段落目は削除されました。
