- Kasperskyは、攻撃者が設定ミスのあるシステムを悪用したコロンビアおよびメキシコでのランサムウェア被害事例を詳しく報告しています
- 被害者のドライブはBitLockerでロックされ、身代金要求文はオフィスのプリンターから印刷されました
- 新たなグループ「XEntry Team」が犯行声明を出しており、設定ミスは依然として重大な侵害リスクとなっています
サイバー犯罪者たちは、まるでハリウッド映画さながらのやり口で、オフィスのプリンターを使ってランサムウェア被害を通知し始めました。
Kasperskyのセキュリティ研究者は、コロンビアとメキシコで最近発生した2件のインシデントを詳細に報告しました。いずれのケースでも、サイバー犯罪者は設定に不備のあるシステムを悪用していました。
しかし、両者の結末は同じでした。攻撃者はBitLockerを使って重要なドライブをロックし、オフィスのプリンターで身代金要求文を印刷させたのです。
XEntry Teamが犯行を主張
コロンビアの事例では、8テラバイトの重要データを保管していたマシンで、互換性の問題を理由にエンドポイント保護プラットフォーム(EPP)が無効化されていました。さらに、インターネットに公開されたリモートデスクトッププロトコル(RDP)も稼働しており、攻撃者は比較的容易にアクセスできる状態にありました。
メキシコの攻撃はこれとは少し異なる経緯をたどりました。攻撃者は行動を起こす3か月前に、MSSQLサービスの設定ミスを発見し、標的環境への特権アクセスを手に入れていました。その後の数か月間で、サーバーのセキュリティ設定を段階的に緩め、Webシェルを仕込んでいきました。一部の行動はEPPのアラームを作動させたものの、被害者側が徹底的な調査を行うことはありませんでした。
コロンビアの事例では、攻撃者が要求した金額はわずか3,000ドルで、被害者はすぐにこれに応じました。そのため、詳細な調査を行うのに十分なフォレンジック証拠が残されていませんでした。Kasperskyは、メキシコの事例で攻撃者がいくら要求したか、また被害者が最終的に支払ったかどうかについては明らかにしていません。
いずれのケースでも、攻撃者は脆弱性を悪用したわけでも、無防備な従業員を狙ったソーシャルエンジニアリングを仕掛けたわけでもありません。代わりに、設定ミスを突いており、これは依然として侵害やデータ漏えいの最大の原因の一つとなっています。
「不正アクセスを防ぐため、RDPはサイバーセキュリティのベストプラクティスに厳密に従って設定することを強く推奨します」とKasperskyは警告しています。「これは特に重要です。当社のグローバルレポート『Anatomy of a Cyber World』によれば、インシデントの13%以上がポリシー違反や設定ミスに関連しており、設定ミスが依然として重大なリスクをもたらしていることが裏付けられています」
今回の攻撃は「XEntry Team」を名乗るグループによるものでした。このグループに関する過去の報告は存在せず、これまで知られていなかった脅威アクターである可能性もあれば、単なる名称変更(リブランド)である可能性もあります。
