Ryuk ランサムウェアから御社のビジネスを保護すべき理由とは？

ランサムウェアは、攻撃者が暗号化技術を使用してネットワーク全体 (ファイルおよび関連デバイスを含む) に感染させ、身代金が支払われるまで標的のビジネスにアクセスできなくすることを可能にするマルウェアの形式です。身代金は通常、ビットコインなどの暗号通貨の形で要求され、数百万ドルではないにしても、数千ドルになる場合があります。2019 年の身代金の平均支払い額は 12,762 ドルに達し、わずか 1 四半期の事件関連のダウンタイムの平均コストは 1 社あたり 64,645 ドルに達しました。

大抵の場合、攻撃者は、病院などの非常に機密性の高い重要な資産を持つ大規模な組織や企業をターゲットにします。これは「大物狩り」と呼ばれる手法です。さらに、他の形式のランサムウェアとは異なり、Ryuk マルウェアを使用するサイバー犯罪者は、特定の個人をターゲットにしたり、企業のネットワークに手動で侵入したりします。攻撃者はネットワーク上で利用可能なオープンソースのツールを使用することで、機密データを収集したり、できるだけ多くのその事業体の領域にアクセスしたりして、社内業務の詳細な情報を取得します。

Ryuk ランサムウェアは、古いランサムウェアである Hermes を基としています。2018 年に初めて確認され、ロシアのサイバー犯罪組織によって改良され開発されたと広く考えられています。2019 年以降、犯罪グループは攻撃の数を増やし、金融機関、病院、さらには地方自治体から数百万ドルの身代金を獲得しています。

Locky ランサムウェア、Cerber ランサムウェア、REvil/Sodinokibi ランサムウェアと同様に、攻撃者が Ryuk ランサムウェアでネットワークとサーバーセキュリティに侵入すると、システムに必要な最大 180 のサービスと 40 のプロセスがシャットダウンされ、重要な情報が暗号化されます。

ファイルが暗号化されると、Ryuk ランサムウェアは .BAT ファイルを使用して元のコピーとシャドーコピーを削除します。つまり、被害者はデータを復元させることができなくなってしまいます。

Ryuk は対称キー暗号化アルゴリズムと非対称キー暗号化アルゴリズムの両方を使用してファイルをエンコードします。これは、いくつかの方法を利用してユーザーデータを暗号化する Petya と Mischa ランサムウェアと同様の方法です。

Ryuk ランサムウェアは、ネットワーク上のすべてのファイルとアプリケーションに影響を及ぼし、その目的を完全に達成すると、必要な身代金要求の詳細を記載した「RyukReadMe.txt」と呼ばれるテキストファイルをすべてのフォルダーにドロップします。サイバー泥棒の要求通りに身代金が支払われた場合、暗号化キーのコピーによりファイルを取り戻すことができます。

Ryuk ランサムウェア攻撃の数は増加し続けているため、自治体と事業体は引き続き警戒する必要があります。2018 年以降に最も注目を集めた Ryuk 攻撃には次のようなものがあります。

• 米国、ドイツ、英国の病院 (2019-2020): これらの国のさまざまな病院は、度重なる Ryuk マルウェア攻撃の被害を受けました。2020 年 9 月、英国と米国で施設を運営するユニバーサルヘルスサービス (UHS) が Ryuk マルウェアの被害を受けました。この事件により同社は 6,700 万ドルの損失を被り、すべての業務が再開されるまでに 1 か月かかりました。2020 年 9 月には、米国と英国の 400 を超える病院のネットワークも Ryuk マルウェアの影響を受け、米国の 250 施設すべてが過去最大級の医療施設に対する Ryuk 攻撃により影響を受けました。Ryuk マルウェアは、2020 年 10 月に米国の医療分野に対する攻撃の 75% を引き起こしたと報告されています。
• フロリダ州レイクシティ市 (2019): ある職員が Ryuk マルウェアの形式が含まれた電子メールを開いたことにより、同市の IT システムは停止し、 46 万ドルの身代金が要求されました。レイクシティ市長は、市当局が業務を復旧させるために要求された身代金を支払ったことを認めました。
• 南オーストラリア州オンカパリンガ市 (2019): 2019 年 12 月、アデレードのオンカパリンガ評議会の IT システムが Ryuk ランサムウェアに感染し、1 週間分の生産性の損失が発生しました。
• EMCOR (2020): 2 月、Fortune 500 にランキングされる会社 EMCOR は、複数の自社 IT システムが Ryuk マルウェア攻撃の影響を受けたことを認めました。同社は身代金の支払いが行われたかどうかを公表していません。