脅威の評価: EKANSランサムウェア

This post is also available in: English (英語)

概要

Unit 42のリサーチャーは、米国およびヨーロッパの複数の産業に影響を与えている最新のEKANS (Snakeの逆さ読み)ランサムウェアの活動を観測しました。その結果として、EKANSランサムウェアの活動に関する本脅威評価レポートを作成しました。識別された技法およびキャンペーンは、Unit 42 Playbook Viewerを使用して表示できます。

EKANSが最初に観測されたのは2020年1月です。EKANSはごく普通のランサムウェアの挙動をとり、主としてファイルを暗号化しようとし、終了時にはランサムノートを表示します。EKANSはファイルの暗号化の点でもごく普通ですが、他のランサムウェアとは異なり、いくつかの興味深い機能を備えています。EKANSランサムウェアはGo言語で記述されており、数多くのアンチウイルスおよび産業用制御システム(ICS)のプロセスやサービスを停止させる静的な「キル リスト」が含まれています。プロセスを停止させた後は、シャドウ コピーを削除して、すべての回復機能を無効にします。また、多くのランサムウェア マルウェア ファミリーと同様に、EKANSは被害者のマシンにネットワーク経由で接続されているリソースを暗号化しようとします。

ファイルを暗号化した後、EKANSは他の有効なランサムウェアのような画一的な拡張子変更は行わず、代わりに5つのランダムな文字で拡張子を変更します。これは、このランサムウェアの作成者が、ファイルの拡張子を見るだけで即時に検出されるのを免れようとしているのかもしれません。EKANS感染を識別するひとつの方法として、ファイルの末尾で、このランサムウェアによって追加されたEKANSの16進数字列を探す方法があります。

現時点でのEKANSの主な侵入ベクトルは、スピアフィッシングのようです。ファイルブロック ポリシーを設定し、開いているRemote Desktop Protocol (リモート デスクトップ プロトコル - RDP)ポートを保護することで、このマルウェアがネットワークに侵入するのを防ぐことができます。ICS資産の所有者は、ICSの操作を中断しようとするEKANSなどのマルウェアに対するセキュリティ体制を確認することが推奨されます。EKANSオペレーターは、エネルギー、建築事務所、ヘルスケア、輸送、製造などさまざまな産業に影響を与えています。

パロアルトネットワークスのThreat PreventionプラットフォームとWildFireおよびCortex XDRは、このランサムウェアに関連する活動を検出します。お客様は、EKANSタグを付けてAutoFocusを使用して、この脅威評価に関連する活動を確認することもできます。

影響の評価

この活動ではいくつかの敵対的手法が確認されており、EKANSランサムウェアおよび同じ手法を使用する他のマルウェアに関連する脅威を軽減するために、パロアルトネットワークスの製品およびサービス内の次の手法が提案されています。

表1: EKANSランサムウェアに対する行動指針

†これらの機能は、NGFWセキュリティ サブスクリプション サービスに含まれます

結論

EKANSは金銭目的で脆弱な企業を標的にする比較的新しいランサムウェアです。私たちは引き続き調査を行っていますが、本脅威による活動はなお活発にみられます。

EKANSが侵害されたRDPを利用するところはまだ確認されていませんが、ランサムウェアの主な侵入ベクトルの1つは、保護されていないRDPポートです。必要でない場合はこれらのポートを閉じるか、セキュリティ保護することが推奨されます。ネットワークへのEKANSの侵入、またはネットワーク内でのEKANSの実行を防ぐには、適切な保護策およびベスト プラクティスを設定することをお勧めします。

このランサムウェアはICSに関連するプロセスを停止しようとするため、ICS資産の所有者は特にこのランサムウェアを認識し、この脅威に対するセキュリティ体制を確認しておく必要があります。

このレポート内の推奨される行動指針は、パロアルトネットワークスで現在入手可能な情報およびパロアルトネットワークスの製品およびサービスの機能に基づきます。

その他の資料

• EKANS Ransomware Analysis Updates (外部資料)
• Matrix - Enterprise | MITRE ATT&CK® (外部資料)
• Best Practices from Palo Alto Networks (パロアルトネットワークスのベスト プラクティス)
• Script and the decoded strings from the EKANS/Snake ransomware (外部資料)

更新履歴

• 2020-06-30 07:45 攻撃ベクトルに関し、継続調査を受けて英語版が更新されたため、日本語版も一部更新しました。主な侵入ベクトルについて「スピアフィッシングの添付ファイルによる」としていましたが原著にならい「スピアフィッシングによる」に変更しました。