進化するランサムウェア「LockBit」の脅威

世界中で猛威を振るうLocBitは、特定の企業や組織を狙う標的型攻撃のランサムウェアです。
不審に思われないように作られたメールによるソーシャルエンジニアリングなどにより侵入を許してしまうと、WindowsのPowerShellやSMB(Server Message Block)などのツールを利用して、人の操作による介入なしにネットワークに繋がっている他のホストに対して自律して感染を広げる自己拡散型の攻撃が特徴です。

このLockBitの犯罪グループは、2019年当時拡張子を「.abcd」にしてファイルを暗号化していたランサムウェアでしたが、その後、拡張子を「.LockBit」に変更してからこの名称の由来になりました。2021年のLocBit2.0では、VMWare ESXiの仮想マシン内の脆弱性を狙ってLinux環境も攻撃対象に加わりました。更に、2020年になってLocBit3.0という改良されたバージョンが登場し、拡張子も「.HLJkNskOq」に変更され、BitCoinやMoneroに加え、匿名性の高いZCashを支払いのための暗号通貨に加えるなど、進化し続けています。
その進化の背景の一つに、RaaS(Ransomware-as-a-Service)を使い、闇サイトで世界の誰でも参加申込みができる攻撃の実行者を募っており、加えてバグを見つけた者には報奨金を与えたりしていることがあげられます。つまり、LockBitの犯罪グループは開発者が中心で、その攻撃を実際に行っているのは、RaaSによって応募した人達で、彼らはその資格を得るための審査まで受け、LockBitランサムウェアが成功したかどうかの統計まで確認できるようです。LockBitの犯罪グループは、こうした募集のおかげや、他の犯罪グループと協力したり、ターゲットの社内関係者を呼び込んだり、有能なハッカーを見つけるためにアンダーグラウンドで行われている技術的なコンテストを後推ししたりして、優秀な技術力を持った人材を集めることができているようです。

ここまで来ると、まさしくビジネスモデルのしっかりした事業体として成り立ってしまっており、その構成員や実行関係者が謎の人物であることが最も怖ろしい脅威となっています。この犯罪グループのターゲットは、企業の他にも非営利団体や収入がある教育機関などで、人の命に関わる組織は対象にしていないようですが、製薬会社や、美容整形などの一部の医療機関には攻撃が認めているとのことです。そして、攻撃の実行者にはその成功分の4分の3にもなる金額が報酬として得られるようで、誰にも見つからず犯行ができるランサムウェアは、見つからなければ何をやってもよいという偏った考えの人であれば、どこの誰がやっていたとしても不思議ではありません。事実、彼らは情報提供者とのやりとりの一部を公開しており、信頼されやすい捜査官やサイバーセキュリティ関連企業の内通者からの情報もあったようです。
LockBitの進化版は、暗号化による使用不可を解除するための身代金要求だけでなく、ダークウェブに取得したデータを公開したり、そのデータを売買したりするケースもあるようで、社会的信用を失いたくない大企業や大きな団体組織にとっては大きな脅威となります。大きいからこそ、その中の従業員や関係者の中には、社内に不満をもった人達が少なからず存在しているはずで、彼らがその腹いせにいつこのランサムウェアのRaaSを利用してしまうかわかりません。攻撃者となる人達は、報酬に目が眩むだけではなく、技術力を持っているからこそ、完全犯罪にチャレンジしてその遂行を楽しむゲーム間隔の危ない指向が芽生えないとは限りません。あるいは、ターゲット内部の人でなくても、人の価値観は千差万別であるため、思想の違う企業や団体組織に対しては、わからないところで懲らしめてやろうという異なった正義感で、罪の意識がなく犯行に及んでしまうケースも考えられます。

何にしても、技術の進歩とネットワーク環境が充実したおかげで、覆面をして銀行を襲ったり、人質をとって誘拐犯にならなくても、簡単にお金を要求できる方法が存在してしまっていることが事実です。性善説を信じたくても、ランサムウェアの被害は無くなってくれません。
だからこそ私たちは、オフラインバックアップのように、万が一の場合であっても被害を最小限に抑えるための対策をする努力が必要なようです。

LockBitは、RaaSの仕組みが脅威を増大させる