WannaCry
Windowsデバイスを標的としたワーム型ランサムウェア
From Wikipedia, the free encyclopedia
WannaCry（ワナクライ、WannaCrypt[4], WanaCrypt0r 2.0, Wanna Decryptor, WCryなどの別称あり[5]）は、Microsoft Windowsを標的としたワーム型ランサムウェアである[6]。
| 日付 | 2017年5月12日 - 2017年5月15日 （初期アウトブレイク）[1] |
|---|---|
| 場所 |  世界 |
| 別名 | WannaCrypt, WanaCrypt0r, WCRY |
| 種別 | サイバー攻撃 |
| テーマ | ランサムウェアによって暗号化されたハードディスクと300 - 600米ドル分のビットコインを要求 |
| 原因 | 脆弱性を利用したソースコードEternalBlue バックドアDoublePulsar |
| 関係者 | （推定）ラザルスグループ |
| 結果 | 20万人以上の23万台以上のコンピュータへの感染（Avast社）[2][3] |
2017年5月12日から大規模なサイバー攻撃が開始され、150か国の23万台以上のコンピュータに感染し、28の言語で感染したコンピュータの身代金としてビットコインを要求する[7][8]。
概要
確認されている最も古い感染例は、2017年4月25日にトレンドマイクロが確認した、Dropboxの短縮URLを悪用したものである[5]。同年5月12日頃より本格的に感染を拡大した[5]。このランサムウェアは、電子メール・ワーム・マルウェアなど複数の方法によって感染し、ユーロポールが「前例のない規模」と発表する[9]ほど大規模であった。
技術的には、主にWindowsのSMBv1の脆弱性MS17-010を利用して感染するものと見られている[10]。この脆弱性については、2017年3月14日時点でマイクロソフトがセキュリティパッチを公開している[11]。このパッチをインストールしなかったコンピュータが感染し、被害が拡大した[12]。被害にあったコンピュータの殆どのOSはWindows 7であった[13]。
サイバー攻撃当初、サポート終了済みの古いOSにはパッチが提供されないがゆえに、特に危険に晒されていたので、マイクロソフトではWindows XP、Windows Server 2003、8.1未適用のWindows 8にも、2017年5月13日に臨時のセキュリティパッチを提供するという異例の対応を行った[4][10]。
背景
4月14日に、シャドー・ブローカーズを名乗る集団が、Microsoft Windowsの脆弱性MS17-010を標的とするエクスプロイト攻撃ツールEternalBlue、およびバックドアプログラムDoublepulsarなどの複数の攻撃ツールをまとめた「FuzzBunchツールキット」をインターネット上で公開した[14][15]。
これらの攻撃ツールは、アメリカ国家安全保障局（NSA）が開発したもので[16][17]、NSAの一部と考えられているイクエーション・グループから情報漏洩したものとみられる[18][19]。「WannaCry」には「Eternalblue」と共に「Doublepulsar」が使われている[20][21][22]。また、シャドー・ブローカーズに先駆けて2016年3月から中国政府と関連するとされるハッカーグループ「Buckeye」はこれらのツールをNSAから攻撃を受けた際に盗み出して改良して一部に流出させていたことをセキュリティー大手シマンテックが発表している[23][24]。
被害
影響
調査
キルスイッチ
- WannaCryに、ランサムウェアの拡散と活動を停止させる「キルスイッチ」となるURLが含まれているのを、感染したマシンからの活動を追跡していたセキュリティ研究者が発見した。この未登録のドメイン名に登録したところ、一時的に攻撃が停止した[55]。
- この研究者は、アンチウイルスの研究者がソフトウェアを調査することがより困難になるように、インターネットから隔離されたマシン（エアギャップ）上で解析されるのを防ぐメカニズムとして、これがソフトウェアに含まれていると推測した。こういった技術は以前から存在している[56]。
- しかし、その後ハッカーらは、このランサムウェアからキルスイッチをなくしたアップデート版を作成し、この新しい亜種は「Uiwix」という名称だと、セキュリティソフトウェア企業のHeimdal Securityは述べている[55]。一方、トレンドマイクロは、この新種はWannaCryと同じように脆弱性「MS17-010」を利用するランサムウェアだが、メモリ上で動作し、仮想マシンやサンドボックスを検知して活動を停止することから別ファミリーだと判断している[57]。
犯人の特定
- コンピュータセキュリティ会社のカスペルスキーとシマンテックの両社は、このコードが過去にハッキンググループ「ラザルスグループ」（北朝鮮とつながりがあるグループで、ソニー・ピクチャーズ・エンタテインメントへのハッキング事件や2016年のバングラデシュ銀行の不正送金に関与）が使用していたものと類似していると述べている[58]。これは単にソースコードを参考にしたか、捜査を攪乱するための工作の可能性も指摘されている[58]。
- 身代金要求の中国語の文章はネイティブが記述、英語は非ネイティブによる記述、それ以外の言語については英語版をGoogle翻訳にかけた機械翻訳であると分析されている[59][60]。
- 2017年12月18日、アメリカ合衆国政府は北朝鮮が本ランサムウェアの作成に直接関与していると考えていることを発表した[61][62]が、北朝鮮は関与を否定している[63]。なお、状況証拠のみで決定的な根拠が提示されておらず、発表を疑問視するセキュリティ専門家もいる[64]。
復号
- 特定条件のWindows XPで、確実ではないが復号できたという報告も出ている[65]。
身代金
感染後、暗号化されたデータの身代金として、最初は300ドル、起動から3日後に値上がりし600ドル相当のビットコインを要求する。このウイルスは、7日以内に振り込まなければデータを復元できなくするとポップアップウインドウ等に表示する[66]。
ところが実際には、5月17日現在、多くの人が300ドルを支払ったにもかかわらず、解除できたという報告はなされていない[67]。ネットワーク・セキュリティ会社チェック・ポイント・ソフトウェア・テクノロジーズは「WannaCryは、製作者に支払った人と関連付ける方法を持っていないようだ」と述べている[68]。これらの事実により、身代金を支払わないようアドバイスも行われている[67]。
カスペルスキーによると、身代金の振込先として少なくとも3つの口座が使われていることが確認されている[69]。2017年5月25日 7:40 UTCの時点で、計302の取引と49.60319 BTCが振り込まれている[70]。