IceFireは、Windowsベースのランサムウェアですが、大容量ファイルを高速転送するためのソフトウェア「IBM Aspera Faspex」の脆弱性を悪用する攻撃を開始するなど、その手口はますます拡大、ないし悪質化しています。

この記事では、 IceFireランサムウェアの特徴を交えつつ、被害に遭った場合の対処法などを解説します。ぜひ参考にしてください。

IceFireランサムウェアの特徴

IceFireは2022年3月、最初に確認されたランサムウェアで、システムに侵入すると、ファイルの暗号化と身代金（ビットコイン）の要求を行います。

その特徴は次のように表すことが出来ます。

WindowsとLinuxを標的にしている

IceFireランサムウェアは、WindowsとLinuxを標的にしています。

たとえばWindowsシステムを標的とする場合、フィッシングメールなどを使用して、システムに侵入します。またLinuxシステムを標的とする場合は、データ配信アプリ「IBM Aspera Faspexの脆弱性」（CVE-2022-47986）を悪用し、システムに侵入します。

IBM Aspera Faspexの脆弱性（CVE-2022-47986）とは

「CVE-2022-47986」は、IBM Aspera Faspex（Aspera Faspex 4.4.2 Patch Level 1 以前のバージョン）の脆弱性です。

この脆弱性は、2023 年1月にIBMによって公開され、「Aspera Faspex 4.4.2 Patch Level 2」で修正されましたが、それ以前のバージョンを使用していると、リモートで任意のコードを実行される可能性があります。

任意のコードを実行されるとデータの盗難、ファイルの削除、システムの乗っ取りなどの被害に遭うだけでなく、IceFireランサムウェアを実行される恐れがあります。

CVE-2022-47986 の影響を受ける可能性がある場合は、できるだけ早くパッチを適用してください。パッチを適用する方法がわからない場合、IBMにサポートを求めることをおすすめします。

出典：bleepingcomputer.com

暗号化でAESとRSAアルゴリズムを使用している

AES（Advanced Encryption Standard）とRSA（Rivest-Shamir-Adleman）は、ランサムウェアなどの暗号化に使用される一般的な暗号化アルゴリズムであり、ともに非常に強力な暗号化となっています。

たとえばAESは、256ビットの鍵を使用できます。鍵の長さが長いほど、解読が困難になり、256ビットの鍵を使用したAESを破ることが非常に困難であるとされています。

またRSAは公開鍵暗号方式であり、公開鍵と秘密鍵の組み合わせを使用されます。公開鍵で暗号化されたデータは、対応する秘密鍵を持つ人しか復号できません。つまり、この両者を組み合わせることで、非常に強力な暗号化を実現しているわけです。

大企業、医療と教育分野をターゲットとしている

IceFireランサムウェアは、大企業、医療、教育機関を標的にする傾向があります。理由として、これは、これらの組織が重要なデータを保有しており、ランサムウェアの作成者が金銭的利益を得ることができる可能性があると考えられるからです。

特に医療機関は、患者の医療記録など、センシティブかつ重要なデータを保有しています。もし医療機関が身代金を支払わない場合、患者の医療記録が公開される可能性があるため、これにより、医療機関は評判を落とし、患者を失う可能性があります。

＼サイバーセキュリティ専門家へ24時間365日で無料相談／

IceFireランサムウェアに感染する原因とは

IceFireランサムウェアに感染する原因としては次のものが挙げられます。

• 電子メールの添付ファイル（不正なマクロ）をクリックする
• 不正なWebサイトや悪意ある広告にアクセスする
• データ配信ソフト「IBM Aspera Faspex」の脆弱性（CVE-2022-47986）を悪用
• 安全でないパスワードを使用する

電子メールの添付ファイル（不正なマクロ）をクリックする

電子メールの添付ファイル（不正なマクロ）をクリックすると、ランサムウェアに感染する可能性があります。

メールの添付ファイルとしては、一般的にはOfficeドキュメント（Word、Excel）やPDFなどの一般的なファイル形式が使用されます。しかし、この添付ファイルには不正なマクロが埋め込まれており、ユーザーがクリックするとマクロが実行されます。

マクロは、Officeドキュメント内でプログラムを自動実行するための機能です。不正なマクロは、ユーザーが添付ファイルを開いた時に自動的に実行され、ランサムウェアがシステムにダウンロードされてしまいます。

不正なWebサイトや悪意ある広告にアクセスする

不正なWebサイトや悪意ある広告にアクセスすると、ランサムウェアに感染する可能性があります。不正なWebサイトや悪意のある広告には、次のようなものがあります。

• フィッシングサイト：フィッシングサイトは、本物のWebサイトに偽装されており、ユーザーの個人情報やクレジットカード情報を盗むために使用されます。
• ポップアップ広告：ポップアップ広告は、ユーザーに不要な広告を表示するために使用されます。ポップアップ広告は、ユーザーを不正なWebサイトに誘導したり、マルウェアをダウンロードさせたりするために使用されることもあります。

データ配信ソフト「IBM Aspera Faspex」の脆弱性（CVE-2022-47986）を悪用

前述したIBM Aspera Faspex の脆弱性（CVE-2022-47986）が悪用されると、データ漏えいなどの被害に遭遇する恐れがあります。できるだけ早くパッチを適用してください。パッチを適用する方法がわからない場合は、IBM にサポートを求めてください。

安全でないパスワードを使用する

安全でないパスワードを使用すると、RDPの資格情報が盗まれ、ランサムウェアに感染する恐れがあります。

たとえば、安全でないパスワードとしては「password」や「123456」のような「一般的な単語や数字の組み合わせ」「個人情報（名前、誕生日、住所など）」「辞書に存在するような一般的な単語やフレーズ」が挙げられます。

なお、RDPを悪用した攻撃は、企業にとって深刻な脅威となっており、RDPの脆弱性を悪用した攻撃は、ランサムウェアの攻撃手口の過半数を占めています。

ランサムウェア感染経路はVPNが過半数？感染時の対応を解説VPNを狙ったランサムウェアに感染する原因と感染の防止策について詳しく解説します。本記事を参考に正しい知識を身につけましょう。デジタルデータフォレンジック（DDF）はデータ復旧14年連続国内売上No.1のフォレンジック調査でパソコンやスマートフォンの端末からデータを復元・調査します。365日年中無休・相談見積無料。...

IceFireランサムウェアに感染するとどうなるのか

ランサムウェアに感染すると、以下のような影響が発生する可能性があります。

• 「iFire-readme.txt」というランサムノート（身代金要求画面）が表示される
• 拡張子が「.iFire拡張子」に変更される
• 二重恐喝される
• データが漏えいする
• パスワードを盗まれる
• トロイの木馬やマルウェアがインストールされる可能性がある

ランサムノート（身代金要求画面）が表示される

IceFireランサムウェアに感染すると、ランサムノート（身代金要求画面）が表示されます。このノートには、身代金の支払いを要求するメッセージや、復号のための指示が記載されており、Torサイト（ダークウェブ）経由で支払いポータルにアクセスするように要求されます。

なお、この身代金メモには「5日以内に応答がなければ、侵害に関する情報を公開する」と記載されています。

出典：pcrisk.com

拡張子が「.iFire」に変更される

IceFireランサムウェアに感染すると、ファイルの拡張子が「.iFire」に変更されてしまいます。

たとえば「1.jpg」というファイルだと「1.jpg.iFire」などに変更されます。これにより、ファイルは正常に開くことができず、利用できなくなります。

二重恐喝される

IceFireランサムウェアは、身代金の支払い以外に追加の要求を行う場合があります。例えば、感染したデータや個人情報を公開すると脅すことで、いわゆる「二重恐喝」を行うことがあります。

データが漏えいする

ランサムウェアに感染すると、データの盗難、漏えい被害、マルウェア感染に遭う恐れが高いです。この際、有効なのがフォレンジック調査です。

フォレンジック調査とは、コンピューターから証拠を収集・分析し、インシデントの詳細を解明する手法で、感染経路や脆弱性の特定、および被害範囲の把握などが可能になります。

私たちデジタルデータフォレンジックは、官公庁、上場企業、捜査機関等を含む幅広いインシデントに対応経験があり、攻撃に使用された侵入経路や漏えいデータを迅速に特定します。ご相談や詳細な情報については、いつでもお気軽にお問い合わせください。

＼法人様は相談から最短30分でWeb打ち合わせを開催／

パスワードを盗まれる

IceFireランサムウェアに感染すると、パスワードや認証情報を盗み出されることがあります。これにより、アカウントやシステムへの不正アクセスのリスクが高まります。

トロイの木馬やマルウェアがインストールされる可能性がある

IceFireランサムウェアに感染すると、他のマルウェアやトロイの木馬をシステムにインストールすることがあります。これにより、さらなるセキュリティリスクが生じ、システムの機能やデータの完全性が危険にさらされます。

 IceFireランサムウェア感染時の対応

IceFireランサムウェア感染時、誤った対応を取ると、再感染やデータ漏えいなどのインシデントに遭遇する恐れがあります。

よって過不足のないフローで適切な対応を取りましょう。 IceFireランサムウェアに感染した場合の対処法は次のとおりです。

1. 端末をオフラインにする
2. バックアップから感染前のデータを復旧する
3. ランサムウェア感染調査に対応した専門業者を利用する

①端末をオフラインにする

まずは、ネットワークから感染した端末を切り離す必要があります。これにより感染が広がることを防ぐことができます。

②バックアップから感染前のデータを復旧する

さらに、感染したサーバーのバックアップを確認し、最新のバックアップからデータを復元することができます。これにより、被害を回復することができます。

ただ、ランサムウェア感染時は、復旧だけではなく、攻撃経路の特定や、再発防止策の検討が必要となります。攻撃に遭った場合は「フォレンジック調査」を検討しておきましょう。

③ランサムウェア感染調査に対応した専門業者を利用する

ランサムウェア感染時は、感染経路を特定し、再発防止策を講じる必要があります。

特に「脆弱性」を悪用した攻撃を受けた場合、再度、攻撃を受けないよう、適切な対応を行うとともに、どの端末のどのデータが詐取されたのかを確認する必要があります。

法人の場合、個人情報の漏えいが疑われる際は、関係各所に向けた「被害報告」が必要ですが、自社調査だけでは客観性や正確性が担保できないことがあります。

たとえば、セキュリティツールはマルウェアを検知・駆除できますが、感染経路や情報漏えいの有無を適切に調査することはできません。したがって、 IceFireランサムウェア感染時は、感染経路調査に対応した「フォレンジック調査」を利用することが有効です。

ランサムウェア感染時、感染経路調査を行うメリット

ランサムウェアに感染した場合、感染経路を調査することで、攻撃者の侵入方法を特定し、将来の攻撃から身を守るために対策を講じることができます。

ランサムウェア感染の調査を行う方法として「フォレンジック調査」を挙げることができます。フォレンジック調査とは、電子機器から証拠を収集・分析して、インシデントの詳細を解明する手法で、たとえば攻撃者がどのようにランサムウェアを侵入させたか、どのような手法や脆弱性が悪用されたかなど、感染経路や情報漏えいの特定に役立ちます。

ランサムウェア感染時の対処におけるフォレンジック調査のメリットは次のとおりです。

1. 被害範囲の特定ができる
2. 感染経路や攻撃手法の解析・証拠の確保ができる
3. 専門エンジニアの詳細な調査結果が得られる
4. セキュリティの脆弱性を発見し、再発を防止できる

①被害範囲の特定ができる

フォレンジック調査は、感染したシステムやネットワーク内での攻撃の拡散範囲を特定するのに役立ちます。これにより、被害を受けたシステムやデータ、ネットワークの一部を迅速に特定し、対処を開始することができます。

②感染経路や攻撃手法の解析・証拠の確保ができる

フォレンジック調査では、ランサムウェアの攻撃手法や感染経路を解析し、証拠を確保できます。また、証拠の確保は、法的な措置や法執行機関との連携に役立つだけでなく、被害の評価や保険請求のためにも重要な要素となります。

③専門エンジニアの詳細な調査結果が得られる

フォレンジック調査の専門会社には、正確にハッキング被害の実態を確認するために必要な高度な技術を持つ専門エンジニアがいます。

自社調査だけでは不適切な場合がありますが、フォレンジックの専門業者と提携することで、調査結果をまとめた報告書が作成でき、公的機関や法廷に提出することができます。

④セキュリティの脆弱性を発見し、再発を防止できる

フォレンジック調査では、マルウェアによる被害の程度や感染経路を特定することで、今後のリスクマネジメントに貢献することが出来ます。弊社では、解析調査と報告書作成の他に、お客様のセキュリティを強化するためのサポートも提供しています。

私たちデジタルデータフォレンジックは官公庁、上場企業、捜査機関等を含む幅広いインシデントに対応経験があります。お電話またはメールでお問合せいただくと、状況のヒアリングと対応方法、お見積りを無料でご案内いたしますので、まずはお気軽にご相談ください。

＼フォレンジック調査の専門家へ24時間365日無料相談／

ランサムウェア感染による企業の情報漏えいインシデント対応が義務化されています

2022年4月から改正個人情報保護法が施行されました

2022年4月に施行された「改正個人情報保護法」では、個人データの漏えい、あるいは漏えいが発生する可能性がある場合、報告と通知が法人に義務付けられました。違反した企業には最大1億円以下の罰金が科せられる可能性もあります。

もし IceFireに感染した場合、まず感染経路や漏えいしたデータを確認することが重要です。しかし、調査を行う場合、法知識や専門技術が必要です。これは自社のみで対応するのが困難なため、フォレンジック専門家と提携して調査を実施することをおすすめします。

＼相談から最短30分でWeb打ち合わせを開催／

IceFireランサムウェアによる被害の調査を行う場合、専門業者に相談する

＼法人様は現地駆けつけ対応も可能／

ランサムウェア調査会社への相談方法

＼法人様　最短30分でお打合せ可能です／

調査の料金・目安について

ランサムウェアの感染対策

ランサムウェアの感染対策として次のものが挙げられます。

多要素認証の導入

まずは多要素認証の導入が重要です。

ID管理や認証強化により、ユーザーが利用するデバイスやデータを認証してアクセス権を設定することで、ランサムウェアを防ぐことができます

EDR等の導入による不審な挙動の早期発見

次にEDR等の導入により、ネットワーク内の不審な挙動を早期発見することが重要です。

たとえば、ランサムウェアを含め、マルウェア等に感染した端末では、外部のサーバーとの間で不審な通信が発生する場合があります。

これをEDRで早期に発見することで、感染拡大や外部からの侵入の範囲拡大を防ぐことができます。

VPN機器の脆弱性対策の実施

また、VPN機器の脆弱性対策の実施も重要です。VPNを利用する場合には、セキュリティパッチの適用やアクセス制限の設定などを行うことで、攻撃者によるVPNの脆弱性をついた攻撃を防ぐことができます。

データのバックアップ

最後に、データのバックアップも欠かせません。ランサムウェアに感染すると、企業内のネットワークに接続された端末内のデータが暗号化されて使えなくなることがあります。

このため、定期的にバックアップを行うことで、ランサムウェアの被害を最小限に抑えることができます。