ランサムウェアの攻撃は悪質化し、狙いを定めて続けられている
日本が平成最後の年末を迎えるころ、ロサンゼルスタイムズはサイバー攻撃を受けたことを明らかにした。攻撃が検出されたのは2018年12月28日。同紙と共通するシステムを使用しているシカゴトリビューンなど、アメリカにある複数の新聞社が被害を受けた。
攻撃されたのは新聞の制作プラットフォームで、新聞の印刷や配送が遅れるという事態をもたらした。感染発覚後には該当システムを隔離するなどの措置をとったものの、別のところで感染が発覚するなど対応には苦慮したようだ。幸いなことに、個人情報の漏洩はないという。
使われたのは比較的新しいランサムウェアの「Ryuk」（マンガ「デスノート」に登場する悪魔リュークが由来）。データを暗号化してメモを残す前に、可能な限り権限の昇格や周囲への拡散を行う。攻撃相手に確実かつ広範にダメージを与えることで、相手が身代金を払わざるを得ないような状況に陥らせるためだ。
ジャーカフ氏は「Ryukはエンドポイントにあるシャドウコピーを削除するだけではなく、接続しているネットワークドライブを検出して暗号化することができます。また（権限昇格に成功したら管理者権限を悪用して）Windowsのシステム復元オプションを無効にすることも可能なので、外部にバックアップがないと回復は不可能です」と述べる。
遅配という新聞社としては痛い被害を被ったものの、報道を見る限りでは身代金を支払うという事態にはならなかったようだ。恐らくシステム復旧に成功したのだろう。
Ryukは多くのコードや文字列でマルウェア「Hermes」と共通しており、RyukはHermesをもとに作られたと考えられている。Hermesは北朝鮮と関係があるサイバー犯罪グループのLazarusが作成した。
一方、攻撃の前段階には「TrickBot」が使われており、こちらはロシアの犯罪グループの関与が疑われている。今のところ専門家の間では、攻撃者が誰なのか、国家が関与しているかどうかについては結論は出ていない。
いずれにしても、似たような攻撃には警戒したほうがいいだろう。今回の攻撃は新聞社の制作プラットフォームが対象だった。ジャーカフ氏は「今後、日本の印刷業界が狙われる可能性もある」と警笛を鳴らす。
ロサンゼルスタイムズは比較的早く復旧できたが、被害が長期化したケースもあった。2018年3月には米ジョージア州アトランタ市がランサムウェアに襲われた。ここではランサムウェア「SamSam」が使われ、市の政府機関、警察の記録システムなどで被害が生じた。結果的に同市では公共事業が数ヶ月間停止するという事態に陥った。
ランサムウェアはデータを暗号化するため、有効なバックアップがなければデータを失う、あるいは身代金要求に応じるかどうか迫られてしまう（身代金を払ったところでデータが復旧できる保証はないが）。Ryukはネットワークドライブにあるデータも暗号化するなど、バックアップを無効にするような能力を強化している。ランサムウェアは一時に比べれば数が減っているものの、昨今では狙いを定め、致命傷を負わせるように悪質化しているため、バックアップ体制は万全にしておきたい。
