10個の脆弱性を活用し、ワームのように広がる新たなランサムウェア「ラッキー」

このランサムウェアは、WindowsとLinuxサーバプラットフォームで発見された10種類の脆弱性を通じて拡散する可能性があります。このランサムウェアの名前は「ラッキー（Lucky）」で、サタン（Satan）ランサムウェアの亜種です。サタンランサムウェアは2017年1月頃から「サービス型マルウェア（Ransomware as a Service、RaaS）」として提供され始め、サイバーセキュリティ業界に大きな衝撃を与えました。ラッキーはランサムウェアでありながらワームと似た行動パターンを見せており、別途命令が無くても拡散することが可能です。

このラッキーを最初に発見したのは中国のサイバーセキュリティ会社で、金融系クライアントの一部で問題が発生し原因を調査していた際に発見されました。同社によると、ラッキーは繁殖力が高いマルウェアで全世界に拡散する危険性があるそうです。Windows SMB、JBoss、WebLogic、Tomcat、Apache Struts 2、Spring Data Commonsなどで以前からある脆弱性をまとめてエクスプロイトが出来るという点も、このラッキーが持つ危険性に挙げられます。

同社がラッキーを分析した結果、ラッキーが利用する脆弱性は以下の10種類であることが判明しました。
（1）JBoss　デフォルト設定の脆弱性（CVE-2010-0738）
（2）Tomcat　任意のコードを実行される脆弱性（CVE-2017-12615）
（3）WebLogic　任意のコードを実行される脆弱性（CVE-2018-2894）
（4）WebLogic　WLSの脆弱性（CVE-2017-10271）
（5）Windows SMB　リモートでコードが実行される脆弱性（MS17-010）
（6）Spring Data Commons　リモートで任意のコードが実行される脆弱性（CVE-2018-1273）
（7）Apache Struts 2　Apache Struts 2の任意のコードが実行される脆弱性（S2-045）
（8）Apache Struts 2　Apache Struts 2の任意のコードが実行される脆弱性（S2-057）
（9）Tomcat　ウェブ管理者コンソールブルートフォースの脆弱性
（10）JBoss　非直列化の脆弱性

ラッキーが利用する脆弱性の中には、Apache Struts 2の任意のコードが実行される脆弱性（S2-045、S2-057）も含まれています。Apache Struts 2の脆弱性については独立行政法人情報処理推進機構（IPA）でも注意喚起しています。

エクスプロイトが可能な脆弱性が多く、感染力が高い非常に危険なランサムウェアです。また脆弱性の数が多いことだけが問題ではなく、この脆弱性を全部エクスプロイトするのが簡単だという点が本当の問題と言えます。その上、既にエクスプロイトする為のツールや方法が公開されているので、サイバー攻撃者の立場としては特に新たな研究や試行錯誤を行う必要がありません。一部の脆弱性は数か月前に発見されたばかりのものもあり、まだ修正パッチを適用していない可能性が高いため、感染の成功率も高くなります。

2016年～2017年に比べると、最近はランサムウェアに特に目立った動きはあまり見られません。強いて言うならWannaCry、GandCrab辺りに活動が見られる程度です。しかし、最近発見されたサタンランサムウェアの亜種であるラッキーの存在は、サイバー攻撃者達がランサムウェアを忘れた訳ではないことを証明しています。

自らコピーを作成するタイプのマルウェアと同様に、ラッキーもシステム内のファイルを暗号化した後、すぐに拡張を試みます。特定IPアドレスとポートを検索し、探し出したシステムに脆弱性の有無をスキャンした後、悪性ペイロードを転送します。ランサムウェアがどれだけ進化しているかを表しているのがラッキーです。ランサムウェアも進化しており、今やランサムウェアは特定OS、特定の脆弱性を狙う代わりにサーバを攻撃し始める様子が伺えます。

OSの脆弱性を狙うランサムウェアは、既に旧式のものとなりました。サーバのアプリケーションとサービスを狙うのが最新のトレンドです。特にLinux環境を狙うランサムウェアでこのような現象が目立ちます。トレンドが変化している理由として、サーバ側アプリケーションにパッチを適用することが、クライアント側アプリケーションにパッチを適用することよりも遥かに難しい点が挙げられます。パッチが適用されたものよりも、寧ろパッチが適用されないまま放置された脆弱性が多い可能性もある為です。

ラッキーへの対策としては、怪しいポートスキャニングを探知し、脆弱性がエクスプロイトされるのを防ぐ必要があります。また、特殊なIPアドレスとドメインに対するアクセス要請を常に確認しておくのも重要です。そして、上記にある脆弱性に対する修正パッチを適用しておく事は基本中の基本です。このようなランサムウェアから企業の重要な資産を守るためには、確かな情報収集とセキュリティ専門家のサポートが肝要と言えます。自社内でのセキュリティ対策に課題をお持ちの場合は、当社までお気軽にご相談ください。

お問い合わせはこちら>>