ProLockランサムウェアオペレーターは、身代金を支払う被害者に欠陥のある復号化機能を送ります
ほとんどの人が知っているように、すべてのランサムウェアが同じように作成されているわけではありません。一部のファミリーは、オープンリポジトリからコードの大部分を借用する未経験の若いハッカーによって作成されています。多くの場合、それらは個々のコンポーネントの実装中に間違いを犯し、結果としてそれほど脅威をもたらさないランサムウェアのサンプルになってしまいます。対照的に、他のファイル暗号化マルウェアファミリは、ほぼ無制限のリソースを持つハッカーの高度なチームによって設計および構築されています。
ProLockは、ランサムウェアのシーンでは比較的新しい名前です。過去数か月の間、いくつかの見出しをとらえており、それがより高度な脅威の1つであるのか、それともアマチュアのグループによってまとめられているのかを見るのは興味深いでしょう。
Table of Contents
ProLock –あらゆる形態と規模の組織にとって深刻な脅威
ソフォスの研究者は最近、クライアントの1つに打撃を受けた後、ProLockを詳しく調べることにしました。いわゆるスクリプトキディの仕事ではないことがすぐに明らかになりました。
ソフォスが調査した攻撃の場合、侵入の最初のポイントは、ハッカーが悪用した不適切に構成されたRDPサーバーでした。被害者を危うくした後、彼らは彼らがいたネットワークに関するいくつかのより多くの情報を集めました、そして彼らはそれを横切って移動するために盗まれた資格情報のリストを使用しました。実際のランサムウェア操作は、ホストの％ProgramData％フォルダーに4つのファイルを配置することから始まります。
BMPイメージ、XMLファイル、およびいくつかのバッチファイルがあります。最初のバッチファイルは、XMLドキュメントで設定されたパラメータを使用して、スケジュールされたタスクを設定します。スケジュールされたタスクは2番目のバッチファイルを実行し、次に、 ステガノグラフィーを使用してBMPイメージにエンコードされたランサムウェアペイロードを抽出します。
データを暗号化する前に、ProLockは特定のプロセスを終了して、暗号化の段階で開かれるファイルの数を減らします。情報のスクランブルが完了すると、ProLockは、ユーザーIDとTorがホストするWebサイトへのリンクを備えた身代金メモを投下し、被害者がハッカーの要求に関する詳細情報を入手できるようにします。
これまでのところ、すべてが非常に専門的に作られて高度に見えます。しかし、研究者がいくつかのサンプルを調べたところ、コードの一部は個々の被害者に合わせて調整されていますが、ユーザーIDはハードコードされており、一意ではないことがわかりました。これは奇妙でした。しかし、奇妙なのは、ProLockがファイルを暗号化する方法でした。
ProLockの解読プログラムが機能しない
ProLockは、8KB未満のファイルを暗号化しません。大きいものについては、9キロバイトから暗号化プロセスを開始します。その結果、ランサムウェアがすでに暗号化しているファイルを開くと、ファイルの最初の部分が読み取り可能な形式のままであることがわかります。
ソフォスの研究者は、これがProLockの復号器が機能しない理由だと考えています。しばらくの間、ProLockオペレーターによって提供される復号化プログラムに欠陥があるという報告がありましたが、問題の技術的な説明を見るのはこれが初めてです。ソフォスのレポートによると、セキュリティの専門家は、問題のある解読プログラムを変更した後でデータを取得できるだけかもしれないが、安くはないと指摘しています。
これは、サイバー犯罪者との取引を禁止すべき理由のもう1つの証拠です。しかし、問題がどこにあるのか私たち全員が知っているので、ProLockオペレーターが問題を修正する可能性はどのくらいありますか？
ProLockギャングは解読プログラムを修正しますか？
これからは、簡単なGoogle検索を実行するのに煩わされる可能性のある被害者は、身代金を支払ってもデータを取り戻せない可能性があることを知っています。彼らは協力する可能性が低くなり、ランサムウェアのオペレーターが暗号化メカニズムを更新して問題を修正できるようになると思うかもしれません。問題は、解読プログラムが機能するかどうかにかかわらず、それらにほとんど影響を与えないことです。
企業は現在、データのバックアップを保持しているため、ランサムウェアへの攻撃が発生した場合、身代金を支払うことがそれを取得する唯一の方法ではなくなりました。昨年、組織を狙ったサイバー犯罪組織は、2番目の恐喝ポイントが必要であることを認識し、暗号化する前に情報を盗み始めました。こうすることで、被害者が解読者への支払いを拒否した場合、詐欺師は大量の機密データを漏洩させる恐れがあります。多くのランサムウェアクルーがそれを実行しており、今ではそれが機能することがわかり始めています。
ソフォスのレポートによると、ProLockギャングはまだこの戦略を採用していないが、いつでもそれを実行できると指摘している。この特定のランサムウェアの標的となる可能性のある組織は、脅威を認識し、必要な予防策を講じてネットワークを強化する必要があります。
