Contiランサムウェアギャングの概要

This post is also available in: English (英語)

概要

Contiランサムウェアは私たちが追跡している数十のランサムウェアギャングの中でも際立って冷酷なランサムウェアの1つです。同グループはこれまで1年以上、ITの停止が人命に関わる事態を引き起こしうる組織（病院、警察への緊急通報を担う通信キャリア、救急医療サービス、法執行機関など）を攻撃してきました。アイルランドでは5月中旬に発生した攻撃により、国の医療システムのITネットワーク全体が停止に追い込まれました。これが原因で予約のキャンセル、X線装置の停止、新型コロナウイルスの検査遅延などが発生し、いまだ完全には復旧していません。

Contiはまたその不誠実さでも際立っています。データが復元できるものとして身代金を支払った被害者をそのまま突き放す事例がいくつも確認されています。

FBIは世界中の組織に対する400件以上のサイバー攻撃にContiが関与したことを明らかにしていますが、被害組織の4分の3は米国に拠点を置いており、その要求額は2,500万ドル（およそ27億6,800万円）におよびます。Contiは数ある攻撃グループのなかでもとりわけ欲深いグループの1つといえます。

侵害の懸念があり弊社にインシデントレスポンスに関するご相談をなさりたい場合は、infojapan@paloaltonetworks.com まで電子メールにてご連絡ください （ご相談は弊社製品のお客様には限定されません）。

Contiランサムウェアの概要

私たちは企業へのランサムウェア攻撃レスポンス支援を通じ、1年以上にわたってContiを追跡してきました。Contiは成長著しいRaaS（サービスとしてのランサムウェア）エコシステムを利用して事業を立ち上げた、数多ある民間サイバー犯罪グループの1つと考えられます。彼らギャングは、商品としてアクセスを販売しているほかの脅威アクターから標的ネットワークへのアクセスを買い、それを使ってネットワークの足掛かりを得ています。また、ほかのRaaSプロバイダからインフラやマルウェア、通信ツール、マネーロンダリングを調達することもあります。これら攻撃者の大半は、ランサムウェア攻撃でよく見かけるアクセス方法を使います。たとえばフィッシングメールやインターネットに公開されたセキュリティの甘いアプリケーションのエクスプロイト、多要素認証（MFA）の欠如などです。これにくわえて、アクセスの達成後はCobalt StrikeやPowerShellなどのアクセス維持強化によく使われている手法を用います。

これらのアプローチはとりたてて巧妙でも洗練されてもいませんが、多くのケースで効果があります。Contiはいま多くの主要ランサムウェアグループが使っている「二重恐喝」手法にならうことも多く、被害者のファイルを人質にとって身代金を要求するだけでなく、最初の身代金要求に応じなければファイルを窃取してWebサイトで公開する・漏えいさせると脅しもします。

ただしContiの取る手法にはほかのランサムウェアではあまり見かけない特徴もあります。

成功しているランサムウェアオペレータは通常、被害者が身代金の支払いを渋らないよう、ある種の「誠実さ」を保とうと努力するものです。「顧客サービス」や「身代金を支払うとファイルを復号できる（そしてリークサイトに掲載されない）」という約束を果たすことで、高い名声を確立したいと考えているからです。ところが私たちがこれまで攻撃を受けたお客様の事後対応支援をするなかで確認したところでは、Contiが潜在的被害者からの評判を気にする様子はありませんでした。

最近の事例だと、身代金を支払った被害者にファイルを返していませんでした。このお客様の場合、約束されたファイルのほんの一部しか復号してもらえないまま、Contiランサムウェアの連絡役がダークウェブへと消えてしまいました。また別のお客様の事例では、データ暗号化で影響を受けた当事者に通知を行うため「Contiがアクセスしたすべてのファイルのインベントリを教えてほしい」と要求したところ、「支払いが行われれば教える」と同意を得たにもかかわらず、その後「もうそのデータは持っていない」「すでに削除したので復元は不可能」と手のひらを返されてしまいました。多くのランサムウェアギャング同様、Contiも常に状況の変化に対応しています。こうした変化のなかには、最近のコロニアルパイプラインや医療機関への破壊的攻撃が注目を集めたことを受けて法執行機関や政策立案者による監視が強化されたことも含まれます。冒頭のアイルランドの医療機関が身代金の支払いを拒否したところ、Contiは同機関に無料の復号キーと称するものを提供しましたが、この話にはさらにひとひねりあり、窃取したデータをリークサイトに公開するという「二重恐喝」の実行主張を変えることはありませんでした。

結論

残念ながらContiをネットワークから排除するのは簡単なことではありません。その主な感染経路はフィッシング詐欺と思われ、この分野で常に腕をあげているようです。かつてのフィッシングメールは、とくに意識向上のためのトレーニングさえ受ければ、ほとんどの人が簡単に見分けられるものでした。ところが最近では、脅威アクターは被害者について事前に十分な下調べをしたうえで、きわめて巧妙な攻撃を仕掛けてくるようになっています。組織の全従業員に詐欺メールを一斉に送りつけることもあります。そのなかでたった一人、添付ファイルを開いてマルウェアをネットワークに放ってくれる人間がいればよいのです。

ランサムウェア攻撃の開始のは容易になる一方です。一方で攻撃者の報酬は飛躍的に増加しつづけています。したがって、ランサムウェア業界は今後も多くの新規参入を惹きつける成長産業であって、知名度の高いターゲットがこれから被害に遭う可能性は高いでしょう。

パロアルトネットワークスはContiランサムウェアを次の方法で検出/防止します。

• WildFire: 既知のサンプルはすべてマルウェアとして識別されます。
• Cortex XDR:
  • Contiランサムウェアのインジケータを含みます。
  • ランサムウェア対策モジュールでContiの暗号化の振る舞いを検出します。
  • ローカル分析・検出機能によりContiバイナリを検出します。
• 次世代ファイアウォール: DNSシグネチャが既知のContiランサムウェアのコマンド&コントロール（C2）ドメインを検出し、Advanced URL Filteringで同ドメインをマルウェアとして分類します。
• AutoFocus: 関連アクティビティをContiタグで追跡します。
• Unit 42 セキュリティコンサルティング: Ransomware Readiness Assessmentは、隠れた脅威を検出し、組織の対応準備状況をテストし、修復のための推奨事項を提供します。

Contiに関連する指標は、こちらのGitHubから利用可能です。Unit 42のTAXIIフィードにも公開済みです。

行動方針

表1 Contiランサムウェアの行動方針

†これらの機能は次世代ファイアウォールのサブスクリプションサービスの一部として提供されています

*これらの分析検出器は、Cortex XDR Proのお客様に対し自動的にトリガーされます