近年、ランサムウェア攻撃は巧妙化・高度化しており、被害件数も増加傾向にあります。

2022年9月頃、ランサムウェアグループ「DEV-056」によって数億円単位の身代金を要求する「Royal」というランサムウェアが開発され、米国を中心に大きな被害を出しました。DEV-056はContiランサムウェアの元メンバーで構成されているとされています。

2023年5月頃には、WindowsとLinuxをターゲットとする新たなランサムウェア「BlackSuit」の登場が報告され、その後の分析でRoyalとの関連性が指摘されています。

この記事では、二つのランサムウェアの特徴を交えつつ、被害時の対処法を解説します。ぜひ参考にしてください。

※この記事の内容は記事作成時点の情報のため、最新情報とは異なる可能性があります。

BlackSuit（.blacksuit）ランサムウェアの特徴

BlackSuitランサムウェアはRoyalランサムウェアとの類似性が指摘されています。また、BlackSuitランサムウェアは比較的新しいランサムウェアのため情報が少なく、今後明らかになる特徴もあると思われます。

2024年6月時点で明らかになっているBlackSuitランサムウェアの特徴は以下の通りです。

リークサイト（データ漏洩サイト）を利用して二重恐喝を行う

BlackSuitランサムウェアはリークサイト（データ漏洩サイト）を保有しています。これは被害者に身代金を支払わせるための二重恐喝の手口として利用されます。

BlackSuitランサムウェアのランサムノート（身代金要求書）には「重要なファイルを暗号化した」「財務レポート、知的財産、個人ファイル、その他の機密データを侵害した」といった旨のメッセージがあり、データを窃取したことが強調されています。

出典：PCrisk

数千万円から数億円の多額の身代金を要求する

2024年以降活動が活発化しているBlacksuitランサムウェアは、多額の身代金を要求する傾向にあるようです。
アメリカのメディアでは、BlackSuitランサムウェアの被害にあったCDK Globalは数百万ドル（数億円）の身代金を要求されていると報道されています。

出典：ロイター

部分暗号化を採用している

ある研究によると、BlackSuitランサムウェアはRoyalランサムウェアと同じくOpenSSLのAESアルゴリズムを用いて標的システム中のファイルを暗号化することが判明しました。

これはファイルの全体ではなく一部分のみを暗号化するもので、RoyalランサムウェアとBlackSuitランサムウェアの暗号化に大きな違いは見られないとの分析結果もあります。

出典：トレンドマイクロ

WindowsとLinuxを狙う

BlackSuitランサムウェアは、Royalランサムウェアと同様にWindowsシステムだけでなく、Linuxシステムも標的としているという共通の特徴があります。

BlackSuitはRoyalのリブランドという説がある

ランサムウェアの攻撃組織は、法執行機関の捜査を逃れるため、リブランドすることで捜査を回避しようとすることがあります。「BlackSuit」も例にもれず、研究者たちによってRoyalランサムウェアとの関連性が指摘されています。

もっとも、BlackSuitはRoyalとの関連を公言していませんが、Royalと極めて高い類似性を持つ亜種または派生型ランサムウェアと推定されています。

BlackSuitランサムウェア攻撃が表面化した2023年5月頃には、Royalランサムウェア攻撃がブランド名を変更すると思われていましたが、実際にはそうなりませんでした。

海外のメディアでは、2023年6月にRoyalランサムウェア集団が、 同集団の通常の暗号化ツールと多くの類似点を持つ新しいBlackSuit暗号化ツールをテストしていると報じています。

出典：BleepingComputer

また、ある検証によると、RoyalとBlackSuitの類似点として、プログラムを実行する際に特定の動作を指示するための「コマンドライン引数」、ファイル全体を暗号化するのではなくファイルの一部を選んで暗号化する「断続的暗号化技術」などが指摘されています。

特に、バイナリファイルの比較では非常に高い類似度が確認されました。

いずれにしても、ランサムウェア攻撃者は、リブランドすることで捜査を逃れ、更なる被害拡大を狙う可能性があります。

したがって、企業や個人は、システム内のファイルを狙ったランサムウェア攻撃に対して十分に警戒し、防御対策を強化しておくことが必要です。

出典：The Record

BlackSuit（.blacksuit）ランサムウェアに感染するとどうなるのか

BlackSuitランサムウェアに感染すると次のような症状に遭遇する場合があります。

ランサムノート（身代金要求画面）が表示される

Royalランサムウェアに感染すると、すべてのデータは暗号化され「README.BlackSuit.txt」という名前のランサムノートが表示されます。

このランサムノートには「すべての重要なファイルは暗号化され、安全なサーバーに保存されました」「私たちは財務レポート、知的財産、会計、訴訟、苦情、個人ファイルなど、あなたのすべてのファイルを持っています」といった内容と、支払先のTor サイト（ダークウェブ上にあるリンク）が記載されています。

出典：PCrisk

暗号化され、拡張子「.blacksuit」に変更される

BlackSuitランサムウェアは、感染したシステム内のファイルを「.blacksuit」という特定の拡張子で暗号化します。

たとえば、「1.jpg」は「1.jpg.blacksuit」に、「2.png 」は「 2.png.blacksuit 」に、というように名前が変更されます。

これにより、被害者はファイルを正常にアクセスできず、データが利用不能になりますが、これは攻撃者の意図や特定のランサムウェアの識別に役立つ重要な要素となります。

出典：PCrisk

二重恐喝される

BlackSuitランサムウェアはRoyalランサムウェア同様、二重脅迫型（暗号化＋暴露）のランサムウェアです。BlackSuitの攻撃グループは、被害者のデータをリークするサイトをダークウェブ上に用意しており、今後さらに被害が増える可能性もあります。

出典：FORTR

データが漏えいする

RoyalおよびBlackSuitランサムウェアに感染すると「ファイルの暗号化による身代金要求」だけでなく「データが漏えいする恐れ」があります。この際、企業は、個人データや機密情報を保護するために法律を守る必要があります。

しかし、データ漏えいが発生した場合、不適切な調査を行うと法律に違反する恐れがあり、罰金や法的措置の対象になります。このことから、ランサムウェア感染が確認された場合、被害に遭ったシステムやファイルの特定、感染経路の把握は、被害を最小限に抑え、再発を防止するために不可欠です。

これらの情報を得るには、デジタルデバイスから証拠を収集・分析する「フォレンジック調査」を行う必要があります。

フォレンジック調査とは、システムログやネットワークトラフィックの解析、マルウェアの解析などを通じて、データ漏えいの規模や影響範囲を正確に把握するのに役立ちます。

私たちデジタルデータフォレンジックは、緊急性の高いインシデントにもいち早く対応できるよう24時間365日体制でフォレンジック調査を受け付けており、官公庁、上場企業、捜査機関等を含む幅広いインシデントに対応経験があります。

お電話またはメールでお問合せいただくと、状況のヒアリングと対応方法、お見積りを無料でご案内いたしますので、まずはお気軽にご相談ください。`

＼相談件数32,377件以上　24時間365日受付／

BlackSuit（.blacksuit）ランサムウェアの被害事例

2024年に活動が活発化しているBlackSuitランサムウェアの攻撃被害事例を一部紹介します。

2024年2月　イーストセントラル大学

オクラホマ州エイダにあるイーストセントラル大学（ECU）は、2024年2月16日にBlackSuitランサムウェアの攻撃を受けました。

ECUの最も重要なシステムはセキュリティ対策を行っていたため稼働し続けたものの、その他キャンパス内のさまざまなコンピューターはサイバー攻撃の被害を受けたと発表がありました。

ECU は、攻撃によって影響を受けた可能性のあるデータの全範囲と規模について調査を続けています。現時点では情報が流出したという証拠はありませんが、大学は多数の個人情報が攻撃者に公開された可能性があることを確認しています。

出典：ECU／Medium<

2024年4月　Octapharma Plasma

Octapharma Plasmaは、2024年4月17日に自社のネットワーク内で不審な活動を検出しました。この影響で米国内の150を超える血漿センターで一連の業務停止が発生しました。

Octapharma Plasmaは米国各地にプラズマ収集センターを運営し、世界中の製薬会社に血漿製剤を提供しています。

多くのアメリカのメディアでは、このインシデントの背景にはBlackSuitランサムウェアが関わっている可能性があると報じられています。

出典：Medium

2024年6月　CDK Global

全米1万5000店の自動車販売店が使用するシステムを提供するグローバルプロバイダーであるCDK Globalは、2024年6月18日にランサムウェア攻撃を受けました。

CDK Globalはただちに対応を開始し、19日午後には一部システムが復旧したものの、6月19日夜に2度目の攻撃を受け、再びシステムがダウンしました。

多くのアメリカのメディアでは、CDK Globalの大規模なIT障害と北米全土の自動車販売店への混乱の背後には、BlackSuitランサムウェア集団がいると報じられています。

出典：BleepingComputer

2024年6月　KADOKAWA

「BlackSuit」を名乗るハッカー集団が2024年6月27日、ダークウェブ上に犯行声明を出したことが判明しました。

犯行声明によると、約1カ月前にKADOKAWAのネットワークにアクセスし、ネットワーク全体を暗号化したといいます。同社経営陣との交渉次第ではすべてのデータを2024年7月1日に公開するとしています。

KADOKAWAは2024年6月8日（土）未明より、当社グループの複数のサーバーにアクセスできない障害が発生し、その後の調査で同社グループデータセンター内のサーバーがランサムウェアを含む大規模なサイバー攻撃を受けたものと確認されました。

KADOKAWAは日本経済新聞の取材に対して犯行声明について「現時点でお答えできることはない」とコメントしています。

出典：KADOKAWA／日本経済新聞

Royal（.royal）ランサムウェアの特徴

Royalランサムウェアに感染すると身代金の支払いを要求され、支払わなかった場合はファイルを公開すると脅迫されます。その際立った特徴は次のとおりです。

RaaSではないプロのランサムウェアグループ

このランサムウェアは、経験豊富なランサムウェア攻撃者のグループ（Royalとしては「DEV-0569」名義）で構成されており、いわゆる「RaaS」（製品としてのランサムウェア、アマチュアでも利用可）ではありません。

いわばRoyalは非公開かつ専門性の高い「高度なランサムウェア」であり、なおかつ「秘匿性の高いランサムウェア」であるといえます

出典：bleepingcomputer.com

数千万円から数億円の多額の身代金を要求する

RaaSはアマチュアでも使えるため、標的は小さな組織が多いのですが、RoyalやBlackSuitは技術力のある犯罪組織により開発されたため、大きな組織への攻撃が目立ちます。

いいかえれば身代金の要求額が大きくなりやすく、Royalは平均して25万ドル（2400万円）から200万ドル（約2億円）を要求していたことが判明しています。（被害者の大半は米国企業で、ある大手通信会社は6,000万ドルの身代金を要求されたとしています）

出典：blackberry.com

部分暗号化を採用している

Royalランサムウェアは、部分暗号化を採用しています。部分暗号化とは、感染したコンピューターやネットワーク内のすべてのファイルを暗号化するのではなく、一部のファイルだけを暗号化することです。これにより、攻撃者は身代金の支払いに応じる可能性が高いファイルをターゲットにすることができます。

出典：cyberreason

WindowsとLinuxの双方を狙う

Royalは従来のWindowsシステムだけでなく、Linuxシステムも標的としています。理由として、近年、企業活動のデジタル化が進み、多くの企業が重要なデータをLinuxシステム上で管理しているためです。攻撃者は、こうしたシステムをランサムウェアで人質に取ることで、高額な身代金を要求することがあります。

出典：Cyble

Royal（.royal）ランサムウェアに感染するとどうなるのか

Royalランサムウェアに感染すると次のような症状に遭遇する場合があります。

ランサムノート（身代金要求画面）が表示される

Royalランサムウェアに感染すると、すべてのデータは暗号化され「README.TXT」という名前のランサムノートが表示されます。

内容には身代金の要求額や支払先のTor サイト（ダークウェブ上にあるリンク）が記載されています。このメモは暗号化されたデバイス上で表示されるだけでなく、ネットワークプリンタで自動印刷されることがあります。

出典：BleepingComputer

暗号化され、拡張子が「.royal」に変更される

暗号化されると、ファイル名は「.royal」という拡張子になります。たとえば、test.jpg ファイルは暗号化され、名前が test.jpg.royalに変更されます。

出典：bleepingcomputer

二重恐喝される

Royalランサムウェアは、いわゆる二重脅迫型（暗号化＋暴露）のランサムウェアです。一度身代金の支払いを断ると、「データをダークウェブ上で公開する」などの脅迫文が再度送られる場合があります。

出典：米保健省 医療機関向けサイバーセキュリティ調整センター (HC3)アナリストノート

データが漏えいする

Royalランサムウェアに感染すると「ファイルの暗号化による身代金要求」だけでなく「機密情報や個人情報が漏えい」するリスクが生じます。

ランサムウェアで機密情報や個人情報が漏えいした場合、組織は個人情報保護法に違反したとして罰金を科せられる可能性があります。たとえば、個人情報保護法では「個人情報を取り扱う事業者に対して、個人情報の漏えいなどの事態が発生した場合、当該個人情報の本人に対して通知すること」を義務付けています。

しかし、この条項に違反し、措置命令を無視した場合、組織は最大で1億円の罰金を科せられる可能性があります。これにかぎらず、顧客が組織との取引を停止するなど、風評被害による経済的損失をともなう場合もあります。

フォレンジック調査会社であれば、ランサムウェア感染時に専門家による被害状況の把握や外部への報告用レポートを作成できるため、ランサムウェアやその他マルウェアに感染した場合は速やかにご相談ください。

＼ランサムウェア感染の相談がしたい方へ／

Royal（.royal）、BlackSuit（.blacksuit）ランサムウェアの代表的な感染経路

RoyalランサムウェアおよびBlackSuitランサムウェアは、あらゆる手段を用いて攻撃を試みます。代表的な手口は次のとおりです。

ソーシャルエンジニアリング

RoyalおよびBlackSuitランサムウェアの感染は、ソーシャルエンジニアリングの手法を使用して行われることもあります。例えば攻撃者は、フィッシングメールやフェイクウェブサイトなどを通じて、被害者を誘導し、悪意のあるファイルやリンクをクリックさせます。

これにより、ランサムウェアがシステムに侵入し、ファイルの暗号化や制御を行います。

Google Adsを用いたマルバタイジング

RoyalおよびBlackSuitランサムウェアは、Google広告などの広告プラットフォームを悪用して感染を広めます。ユーザーは、広告をクリックしても問題ないと油断していても、広告をクリックしただけで、ランサムウェアに感染する可能性があるため、細心の注意が必要です（クリック誘導によるマルウェア感染の手口は「マルバタイジング」と呼ばれます）。

ランサムウェアから身を守るには、知らない広告や怪しい広告はクリックせず、セキュリティソフトを最新の状態に保ちましょう。

Webアプリケーションの脆弱性

RoyalおよびBlackSuitランサムウェアは「不正な入力検証」「データ処理の不備」が存在する脆弱なウェブサイトやWebアプリを特定し、その脆弱性を悪用してネットワークに侵入してランサムウェアを配信します。これらの脆弱性が複合的に存在するウェブサイトは、攻撃者にとってターゲットとなりやすく、セキュリティインシデントのリスクが高くなります。

RDPを利用した侵害

RDP（リモート デスクトップ プロトコル）は、Windows上でリモート接続を可能にするプロトコルですが、ランサムウェアの侵入手法の1つとして悪用されています。

RDPを悪用したランサムウェアの侵害リスクは、次のとおりです。

• 脆弱性の悪用：RDPには、パスワードの推測やブルートフォース攻撃など、悪用される可能性のある脆弱性がいくつかあります。
• 不正アクセス ：RDPのパスワードや資格情報が盗まれた場合、攻撃者は不正アクセスしてランサムウェアを実行する可能性があります。

RDPを利用したランサムウェアの侵害が発生した場合、フォレンジック調査を行うことが重要です。これにより、システムやアプリケーションのログから、侵害の痕跡を探し出し、侵害の詳細やランサムウェアの拡散経路を特定することができます。

＼サイバーセキュリティの専門家に今すぐ無料相談できる／

ランサムウェアに感染した場合の対処法

ランサムウェア感染時、誤った対応を取ると、再感染やデータ漏えいなどのインシデントに遭遇する恐れがあります。

よって過不足のないフローで適切な対応を取りましょう。ランサムウェアに感染した場合の対処法は次のとおりです。

感染拡大を防ぐためにネットワークを分離する

ランサムウェアの感染が広がるのを防ぐために、感染した端末をネットワークから切り離すか、他の端末との接続を制限します。

支払いを行わない

攻撃者からの身代金要求に応じることはおすすめできません。まずはセキュリティ専門家や法執行機関の助けを借りて、解読ツールや復号方法の確認を試みましょう。

ランサムウェア感染時、復号ツールで対応する方法は次のとおりです。

ランサムウェア感染時、復号ツールで解除・復旧するための対応方法を解説ランサムウェアに感染時、復号する方法を詳しく解説します。本記事を参考に正しい知識を身につけましょう。デジタルデータフォレンジック（DDF）はデータ復旧14年連続国内売上No.1のフォレンジック調査でパソコンやスマートフォンの端末からデータを復元・調査します。...

バックアップから復旧する

ランサムウェアに感染した場合、バックアップからクリーンなデータを復元することで、被害を最小限に抑えることができます。ただし、これとは別に、攻撃の経路や感染の範囲を特定することが重要で、これにより将来の攻撃の防止策を講じることができます。

ランサムウェア感染調査に対応した専門業者を利用する

ランサムウェア感染時、ランサムウェアの感染経路を特定し、再発防止策を講じる必要があります。特に脆弱性を悪用した攻撃を受けた場合、再度攻撃を受けないためにも、適切な対応を行うとともに、どの端末のどのデータが詐取されたのかを確認する必要があります。

特に法人の場合、個人情報漏えいが確認された場合は被害報告が必要ですが、自社調査だけでは客観性や正確性が担保できないことがあります。

たとえばセキュリティツールはマルウェアを検知・駆除こそできますが、感染経路や情報漏えいの有無などを適切に調査することはできません。したがって、ランサムウェア感染時は、感染経路調査に対応した「フォレンジック調査」を利用することが有効です。

ランサムウェア感染時は、感染経路の調査を推奨

ランサムウェア感染時は、感染経路調査に対応した「フォレンジック調査」を利用することが有効です。フォレンジック調査とは、コンピューターから証拠を収集・分析し、インシデントの詳細を解明する手法です。たとえば、ランサムウェアの調査では、ランサムウェアの感染経路や感染した端末から流出した情報を特定するために使用されます。

これにより、攻撃者がどのようにランサムウェアを侵入させたか、どのような手法や脆弱性が悪用されたかを特定でき、適切な対応策や復旧プロセスを計画することができます。

ランサムウェア感染時の対処におけるフォレンジック調査のメリットは次のとおりです。

①被害範囲の特定

フォレンジック調査は、感染したシステムやネットワーク内での攻撃の拡散範囲を特定するのに役立ちます。これにより、被害を受けたシステムやデータ、ネットワークの一部を迅速に特定し、対処を開始することができます。

②感染経路や攻撃手法の解析・証拠の確保

フォレンジック調査では、ランサムウェアの攻撃手法や感染経路を解析し、証拠を確保できます。また、証拠の確保は、法的な措置や法執行機関との連携に役立つだけでなく、被害の評価や保険請求のためにも重要な要素となります。

③専門エンジニアの詳細な調査結果が得られる

フォレンジック調査の専門会社には、正確にハッキング被害の実態を確認するために必要な高度な技術を持つ専門エンジニアがいます。

自社調査だけでは不適切な場合がありますが、フォレンジックの専門業者と提携することで、調査結果をまとめた報告書が作成でき、公的機関や法廷に提出することができます。

④セキュリティの脆弱性を発見し、再発を防止できる

フォレンジック調査では、マルウェアによる被害の程度や感染経路を特定することで、今後のリスクマネジメントに貢献することが出来ます。弊社では、解析調査と報告書作成の他に、お客様のセキュリティを強化するためのサポートも提供しています。

私たちデジタルデータフォレンジックは官公庁、上場企業、捜査機関等を含む幅広いインシデントに対応経験があります。お電話またはメールでお問合せいただくと、状況のヒアリングと対応方法、お見積りを無料でご案内いたしますので、まずはお気軽にご相談ください。

＼フォレンジック調査の専門家へ24時間365日無料相談／

ランサムウェア感染による企業の情報漏えいインシデント対応が義務化されています

2022年4月から改正個人情報保護法が施行されました

2022年4月に施行された「改正個人情報保護法」では、個人データの漏えい、あるいは漏えいが発生する可能性がある場合、報告と通知が法人に義務付けられました。

違反した企業には最大1億円以下の罰金が科せられる可能性がありますので、もしランサムウェアに感染した場合、まずは感染経路や漏えいデータを確認することが重要です。

しかし、被害の調査を行う場合、法的知識や専門技術が必要です。自社のみで対応するのは困難であるため、コンピューターやネットワーク上のデータを収集・分析する「フォレンジック専門家」と提携して調査を実施することをおすすめします。

＼相談から最短30分でWeb打ち合わせを開催／

ランサムウェアによる被害調査を行う場合、専門業者に相談する

＼法人様・個人様問わず対応　24時間365日無料相談OK！／

ランサムウェア調査会社への相談方法

＼法人様・個人様問わず対応　24時間365日無料相談OK！／