ランサムウェアの検証レポート

ランサムウェアに感染したお客様から、お問い合わせを頂きインシデントレスポンス対応を行いました。そこでランサムウェアの検体も一緒に引き上げてきたので弊社ラボ内の仮想環境にて検証を行ったのでレポートを致します。

*ランサムウェアはPC内のファイルが暗号化され、身代金を支払う様に要求される非常に危険なマルウェアです。この検証は弊社内のマルウェア・ウイルス解析用の特別な環境で行っている為、真似をしない様にしてください。

 

①テストフォルダの中に検体を入れました。

 


②検体フォルダの中に入っているので開きます。

 

 

 


③お見積書依株式会社anexe.pdfというファイルがランサムウェアです。

*拡張子がpdfになっていますが、実際の拡張子はexeですので実行ファイルです。RLOという手法で拡張子を怪しまれない様にしていますが、種類の欄はアプリケーションになっています。(検体のファイル名は変更しております。)

 

 

 


④ダブルクリックすると英語表記の画面が現れました。

 

 

⑤英語表記の画面を×で消すと日本語表記の画面が現れました。ファイルが開けないのは正しい状態なのでcerver dycrypterを購入することで復号化できると記載されています。

 

⑥支払い方法を指示しています。
*ネットとは繋がっていない状態で検証したので、このURLはクリックしていません。

 


 

 

 


⑦この画面を×で消して元の画面に戻るとワード、エクセル、パワーポイントのファイル名が変更されていました。ダブルクリックしても一切開けません。デスクトップの壁紙も変更されて、画面にあるhtaのファイルが生成されていました。

*怖いことに感染後は丁寧に日本語音声で説明のアナウンスが流れ続けていました。

 



音声のアナウンスが怖いです


ランサムウェアはかなりの種類の亜種が誕生している為、ウイルス対策ソフトの対応が間に合っていないケースが多いです。OSやサードパーティ製品のアップデートはもちろん、PCやサーバ等のエンドポイントセキュリティ、UTMやファイアウォール等のネットワークセキュリティ、と三重四重のセキュリティ対策が必要になります。こちらのお客様は幸いにも定期的に取得しているNASの過去のスナップショットからデータを復元することができました。本当に復元できるかどうかも分からない指示に従って支払いをすることなく解決できました。万が一バックアップも暗号化されて、スナップショットも無い状態だったらと考えるとゾッとすると仰っていました。

ランサムウェアの事前対策がお済みでない場合は情報セキュリティ対策サービスへご相談ください。
また、万が一データを暗号化された場合は情報セキュリティ110番へご相談ください。

HTML HTML HTML

UTM導入サービス
お問い合わせ 045-311-6820 セキュリティに関するお問い合わせ 無料相談受付中
PageTop