- Akiraランサムウェアは防御機能を無効化しようとセーフモード起動を試みたが、結果的に自らの暗号化ツールを機能不全にしてしまいました
- その後Defenderがペイロードを検知して隔離し、攻撃者の手元に残ったのは窃取したデータのみとなりました
- Huntressは、VPNへのブルートフォース攻撃に対するアラート設定、MFA、SIEMログ記録、セーフモード監視を推奨しています
先日発生したランサムウェア攻撃では、Akiraの運営者たちが（比喩的に言えば）自らの足を撃ち抜いてしまうという事態が起きました。それでも彼らは機密データを持ち去ることには成功しており、いわば足を引きずりながらの撤退となりました。
Akiraは著名なランサムウェア集団で、インターネット上で最も活発なサイバー犯罪組織の一つとされています。その手口は理論上シンプルです。まず露出したVPNインスタンス（例えばデフォルトパスワードや脆弱なパスワードが設定されているもの）を探し出し、ドメインコントローラーにアクセスして、Active Directoryを列挙します。そして機密データを窃取したうえで、暗号化ツールを展開するというものです。
暗号化ツールを展開した後は身代金要求メモを残し、復号鍵の提供と窃取した文書・情報の削除と引き換えに、被害者側から連絡を取って支払い交渉に応じるよう指示します。
しかし今回の攻撃では、彼らはまずデバイスのアンチウイルスおよびエンドポイント検知・対応（EDR)ソリューションを無効化しようと試みました。ところがこのプロセスが裏目に出て、結果的にセキュリティソリューションが暗号化ツールを首尾よく検知し、隔離することになったのです。
「ネットワーク機能を有効にしたセーフモード」の功罪
セキュリティ研究者らが発表した最新のHuntressのレポートによると、Akiraはデバイス上での永続化を確立した後、そのデバイスを「ネットワーク機能を有効にしたセーフモード」で再起動させたとのことです。このWindows起動モードは、アンチウイルスプログラムやEDRエージェントといった重要なコンポーネントを除外し、必須のドライバーとサービスのみでOSを起動します。それと同時にインターネットアクセスは確保されるため、Akiraにとってはまさに好都合な組み合わせとなります。
「これはつまり、Defenderのリアルタイム保護も無効化されていたということです」とAkiraの手口についてHuntressは説明しています。「セーフモードが有効な間、このホストには機能するEDRが存在せず、アンチウイルスも目が見えない状態でした。これはMITRE ATT&CKのT1688（防御機能の弱体化：セーフモード起動)に該当する手法で、SnatchやAvosLockerといったランサムウェアファミリーが長年使用してきたものです。しかし、Akiraがこの手法を用いたのを確認したのは今回が初めてです」
Akiraが計算に入れていなかったのは、「ネットワーク機能を有効にしたセーフモード」が自らの暗号化ツールの実行も妨げてしまうという点でした。「セーフモードは簡素化された環境と制限された仮想メモリの下で起動するため、Akiraのプロセスツリーはメモリ不足に陥ったとみられます。『仮想メモリ不足』というポップアップが表示され、それに続く一連のPowerShellの致命的エラーのタイミングは、ペイロードが処理を開始しようとした瞬間と正確に一致しています」
攻撃者側にはデバイスを通常モードで再起動する以外の選択肢がなく、その結果、スケジュールされていたDefenderのスキャンが暗号化ツールを検知してフラグを立て、最終的に隔離するに至りました。
「この結果には、いささか居心地の悪い教訓が含まれています。セーフモードは我々の防御機構を無力化した一方で、まさにそのセーフモードのせいで、本来行われるはずだった暗号化そのものを妨げた可能性があるのです。これは攻撃者自身のミスによる幸運な副産物であり、防御側があらかじめ計画して当てにできるようなものではありません」とHuntressは警告し、すべての被害者がこのような幸運に恵まれるとは限らない点を強調しています。
「結局のところ、これは『戦闘には勝ったが、戦争には勝っていない』というケースかもしれません。物理メモリやページファイルがより大きいホストであれば、akira.exeがセーフモードでもエンドポイントを暗号化するのに十分な仮想メモリを確保できた可能性があります。Akiraの開発者やアフィリエイトが暗号化ツールのメモリ要求量を減らしたり、セーフモードでの起動シーケンスの信頼性を高めるよう改良したりすれば、次回の侵入では同じ失敗が起きないかもしれません」
Akiraランサムウェアへの対策
Akiraへの対策として、Huntressはユーザーに対し、単一の送信元から複数のユーザー名を狙ったVPNログイン失敗が連続して発生した場合にアラートを設定するよう推奨しています。Akiraは侵入の起点としてVPNへのブルートフォース攻撃を仕掛けるため、この対策は効果的です。加えて、それらのログイン失敗と、短い時間枠内で同一のIPアドレスまたはASNからの成功したログインとを関連付けて分析することも推奨されています。
次のステップとして、すべてのVPNアカウントで多要素認証(MFA)を有効にすることが挙げられます。また、攻撃が進行中の際にはSSL VPNを無効化するか、IPアドレスによる許可リストを設定すべきです。そして万一侵害された場合は、AD(Active Directory)とVPNの認証情報をすべてローテーションする必要があります。研究者らは「Get-ADUserのダンプに含まれるすべての情報は、漏洩したものとして扱うべきです」と警告しています。
EDRはすべてのホストに導入するとともに、SIEMを導入してVPNとWindowsイベントログを取り込むべきです。「最初のVPNログオンは、実際の攻撃実行より数時間前から可視化されていました。この時間的な優位性を活かせるのは、ログがSIEMに集約されている場合に限られます」
最後に、Akiraを現行犯で捕らえるために、起動構成の変更やセーフモードでの起動に対するアラートを設定しておくこともできます。
