ランサムウェア攻撃は様々な分野の組織に対して重大な脅威を与え続けており、洗練された犯罪組織は常に戦術を進化させています。連邦当局は最近、ここ数ヶ月で急速に被害者を増やしている特に危険なランサムウェアの亜種について警鐘を鳴らしています。
 |
|---|
| FBI と米国サイバーセキュリティ・インフラストラクチャーセキュリティ庁が、危険なランサムウェア計画について警告しています |
連邦機関が Medusa ランサムウェアに関する共同勧告を発表
FBI と米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（ CISA ）は、2021年から活動している Medusa というランサムウェア・アズ・ア・サービス（ RaaS ）の再燃について緊急勧告を発表しました。共同報告によると、 Medusa の開発者とその関連組織は2月以降だけで300以上の被害者を侵害しており、医療、教育、法律サービス、保険、テクノロジー、製造業など複数の分野にわたる重要インフラを標的にしています。
Medusa ランサムウェアの主な事実：
- 活動開始時期：2021年6月
- 最近の被害者数：2025年2月以降300件以上
- 標的とする業界：医療、教育、法律、保険、テクノロジー、製造業
- 身代金要求額：10万米ドルから1,500万米ドルまで
- カウントダウン延長料金：1日あたり1万米ドル
クローズド型運営からアフィリエイトモデルへの進化
Medusa は当初、同じ犯罪者がマルウェアの開発と攻撃の実行の両方を行うクローズド型のランサムウェアとして運営されていました。しかし、その後アフィリエイトモデルに移行し、開発者は身代金交渉に集中する一方、ダークウェブフォーラムを通じて実際の攻撃を実行するアフィリエイトを募集するようになりました。これらの募集活動には、独占的な作業に対して100ドルから100万ドルの報酬が含まれることがあり、専門的な役割を持つサイバー犯罪者の分散ネットワークを形成しています。
洗練された攻撃手法
Medusa の主な感染経路は、被害者の認証情報を盗むように設計されたフィッシングキャンペーンです。初期アクセスが獲得されると、攻撃者は様々な正規ツールを使用して攻撃を進めます。彼らは Advanced IP Scanner や SoftPerfect Network Scanner などのユーティリティを使用して脆弱なシステムとオープンポートを特定し、 PowerShell と Windows コマンドプロンプトでネットワークリソースのリストを作成します。侵害されたネットワーク内での横方向の移動には、 AnyDesk 、 Atera 、 Splashtop などのリモートアクセスソフトウェアを Remote Desktop Protocol や PsExec と共に活用しています。
二重恐喝戦術
Medusa は特に攻撃的な二重恐喝モデルを採用しています。被害者のデータを暗号化してアクセス不能にするだけでなく、身代金が支払われない限り盗まれた情報を公開すると脅迫します。この組織はデータリークサイトを維持し、被害者のリストと情報が公開されるまでのカウントダウンタイマーを表示しています。特に悪質な手法として、被害者は暗号通貨で1万ドルを支払うことでカウントダウンをわずか1日延長できるというもので、10万ドルから1500万ドルとされる身代金要求に応じるよう追加の圧力をかけています。
Spearwing グループに帰属
Symantec の最近の調査によると、 Medusa ランサムウェアは Spearwing と呼ばれる脅威アクターに帰属しています。2023年初頭以来、このグループはデータリークサイトに約400の被害者を公開していますが、セキュリティ研究者たちは実際に侵害された組織の数はそれよりもはるかに多いと考えています。
推奨される保護対策
連邦当局は、 Medusa や類似の脅威から保護するために組織が実施すべきいくつかの重要な保護対策を概説しています。これには、オペレーティングシステムとソフトウェアの既知のセキュリティ脆弱性のパッチ適用、潜在的な侵害を封じ込めるためのネットワークセグメンテーションの実装、ネットワークトラフィックのフィルタリング、未使用ポートの無効化、オフラインバックアップを含む包括的なデータ復旧計画の確立などが含まれます。
保護に関する推奨事項:
- オペレーティングシステム、ソフトウェア、ファームウェアのパッチ適用
- ネットワークセグメンテーションの実装
- ネットワークトラフィックのフィルタリング
- 未使用ポートの無効化
- オフラインデータバックアップの作成
- 多要素認証の有効化
- 頻繁なパスワード変更ではなく、長いパスワードの使用
- 異常なネットワーク活動の監視
認証と監視の重要性
セキュリティ専門家は特に、メールや VPN を含むすべてのサービスに多要素認証を有効にすることの重要性を強調しています。一部の伝統的なセキュリティアドバイスとは対照的に、勧告では認証情報を頻繁に変更するのではなく、長く複雑なパスワードを使用することを推奨しています。後者の方法では時に弱いパスワードの選択につながる可能性があるためです。さらに、組織は進行中の攻撃を示す可能性のある、特に横方向の移動など、異常なネットワークアクティビティを監視し警告するツールを導入すべきです。