お問い合わせ
2021年から活動が観測されるようになったランサムウェア「ALPHV（BlackCat）」をご存知でしょうか。
このグループは、エネルギー、金融、テクノロジーなど様々組織に被害を与えており、2022年夏には、玩具メーカーのバンダイナムコが被害に遭ったという報告がなされ、国内外で注目を集めています。
そこでこの記事では、BlackCatランサムウェアの特徴を交えつつ、被害に遭った場合の対処法などを解説します。ぜひ参考にしてください。
目次
ALPHV (BlackCat) とは何か
ALPHV (BlackCat)は、身代金を要求するマルウェア（ランサムウェア）です。
ALPHV (BlackCat) に感染すると、通常、ビットコインで数百万ドルの身代金の支払いを要求されるとされています。
その特徴は、次のように言い表すことが出来ます。
- RaaSモデルを採用しているランサムウェア
- 被害者が身代金要求に応える可能性を高める「三重恐喝」「四重恐喝」のスキーム
- 盗難データの検索可能なデータベースの公開
いずれにせよ、きわめて独特の攻撃スキームを採用しており、従来の攻撃と比較しても悪質性が高いことから注意が必要です。
RaaSモデルを採用しているランサムウェア
RaaS（Ransomware-as-a-Service）とは、ランサムウェアを「製品」として、サイバー犯罪者に有料提供し、身代金を山分けするビジネスモデルです。たとえばALPHV （BlackCat）は、「身代金の80～90％を取り分にできる」と主張しています。
RaaSの台頭により、ランサムウェア攻撃はますます広まっており、一般的なセキュリティ上の脅威となっています。組織や個人は、セキュリティ対策やデータのバックアップなどの予防策を講じることが重要です。
被害者が身代金要求に応える可能性を高める「三重恐喝」「四重恐喝」のスキーム
ランサムウェアは、多くの金銭を奪い取ることを目的としており、しばしば「二重恐喝」という手法を取り入れた攻撃を行います。これは感染したコンピュータ内に保存されているデータを暗号化して人質に取るだけでなく、窃取した情報を暴露すると脅す手口です。
もともと、ランサムウェアはデータを暗号化して復号のための身代金を要求するだけでしたが、近年のランサムウェアは二重恐喝型が主流となっており、ランサムウェア被害者の65%が二重恐喝に直面したという報告もあります。
出典：spiceworks
しかし、恐喝手口はこれだけに留まりません。ALPHV（BlackCat）は「三重恐喝」の手口を行使するランサムウェアです。これは被害者のインフラに対してDDoS攻撃を仕掛ける手口です。
また、これにかぎらず、ALPHV（BlackCat）は、様々な手口を使って相手を恐喝することで知られており、中には第四の恐喝手段として「四重恐喝」を行うケースもあります。これはランサムウェアに感染したことを被害者の顧客やビジネス パートナー、従業員、およびメディアに対して大々的に暴露するという悪質極まりないハラスメント行為です。
出典：medium
盗難データの検索可能なデータベースの公開
ALPHVは、盗んだデータをデータベースとして公開します。公開データは簡単に検索・利用できることから、被害者や関係者のプライバシーを侵害するリスクが懸念されています。
このような場合、組織は、盗難データがどの程度、広まっているかを把握することが推奨されています。この際、有効なのが「フォレンジック調査」です。
これはデジタル証拠解析に特化した調査手法で、攻撃の手法や経路を分析し、どのように攻撃されたのかを明らかにした上で、将来的なサイバー攻撃を予防するための対策や法的措置を講じることが可能です。
＼相談件数32,377件以上 24時間365日受付／
フォレンジック調査の概要や必要性・メリット・活用事例はこちら
ALPHV（BlackCat）に感染する原因とは
ALPHV（BlackCat）に感染する原因としては、次のものを挙げることができます。
- 盗んだユーザーの資格情報を使用する
- パッチが適用されていないMicrosoft Exchangeサーバーを悪用する
- バックアップ運用を行うソフトウェアの脆弱性を悪用する
ランサムウェアの感染経路については下記の記事で詳しく紹介しています。
盗んだユーザーの資格情報を使用する
もし盗まれた資格情報を使用してログインされると、組織のネットワーク内に悪意のあるコードやツールを展開されたり、遠隔操作によって個人情報や機密データが漏えいしたりする可能性があります。
なお、資格情報の盗難はVPNやRDP経由で行われることが多くあります。RDPとは、WindowsOSに組み込まれたリモートアクセス技術ですが、悪意ある攻撃者によって悪用されることも多く、ランサムウェアの攻撃手口の過半数がVPNやRDP経由となっています。
出典：IPA
資格情報の盗難とログインによる攻撃を調査するには
VPN/RDP経由での資格情報の盗難について調査する場合、デジタル端末を調査・解析する「フォレンジック調査」が有効です。
フォレンジック調査では、ログやネットワークトラフィックを分析することで、攻撃手口や感染経路、あるいは漏えいデータなどを特定し、再発防止策を検討することができます。
＼サイバーセキュリティの専門家に無料相談できる／
パッチが適用されていないMicrosoft Exchangeサーバーを悪用する
ALPHV（BlackCat）は、Microsoft Exchangeサーバーに存在するセキュリティ上の脆弱性を特定し、ランサムウェアを仕向けます。
これは、パッチが適用されていない既知の脆弱性や、新たに発見されたゼロデイ脆弱性（修正プログラムが公開されていない脆弱性）などが含まれます。
バックアップ運用を行うソフトウェアの脆弱性を悪用する
ALPHV（BlackCat）は、WindowsやLinux環境のバックアップ運用を行うソフトウェア「Veritas Backup Exec」の脆弱性を悪用し、ネットワークに侵入しているという報告があるため、同製品を使用している場合、早急なアップデートを推奨します。
なお、下記の脆弱性はいずれも2021年3月に修正されています。
- CVE-2021-27876
- CVE-2021-27877
- CVE-2021-27878
出典：mandiant.com
ALPHV（BlackCat）と関連している疑いがあるとされるファイルとIPアドレス
アメリカ連邦調査局（FBI）は、ALPHV（BlackCat）と関連している疑いがあるとされるファイルとIPアドレスを公表しています。
- amd – Copy.ps1
- ipscan.ps1
- Run1.ps1
- [###].ps1
- [##].ps1
- [#].ps1
- CME.ps1
- Run1.ps1
- mim.ps1
- psexec.ps1
- Systems.ps1
- System.ps1
- CheckVuln.bat
- Create-share-RunAsAdmin.bat
- LPE-Exploit-RunAsUser.bat
- RCE-Exploit-RunAsUser.bat
- est.bat
- runav.bat
- http_x64.exe
- spider.dll
- spider_32.dll
- powershell.dll
- rpcdump.exe
- mimikatz.exe
- run.exe
- zakrep_plink.exe
- beacon.exe
- win1999.exe
- [compromised company].exe
- test.exe
- xxx.exe
- xxxw.exe
- Mim.exe
- crackmapexec.exe
- plink.exe
- Services.exe
- Systems.exe
- PsExec64.exe
ALPHV（BlackCat）に関連している疑いがあるとされるIPアドレスは次のとおりです。
- 89.44.9.243
- 142.234.157.246
- 45.134.20.66
- 185.220.102.253
- 37.120.238.58
- 152.89.247.207
- 198.144.121.93
- 89.163.252.230
- 45.153.160.140
- 23.106.223.97
- 139.60.161.161
- 146.0.77.15
- 94.232.41.155
出典：FBI
上記に該当するファイルが存在する場合、ALPHV（BlackCat）に感染しているか、もしくは感染する恐れがあるため、駆除ないしインシデント調査を行うことをおすすめします。
ALPHV（BlackCat）ランサムウェアに感染した場合の対処法
ALPHV（BlackCat）ランサムウェア感染時、誤った対応を取ると、再感染やデータ漏えいなどのインシデントに遭遇する恐れがあります。
よって過不足のないフローで適切な対応を取りましょう。ALPHV（BlackCat）ランサムウェアに感染した場合の対処法は次のとおりです。
- 感染端末をネットワークから切り離す
- 身代金を支払わない
- バックアップから復旧する
- ランサムウェア感染調査に対応した専門業者を利用する
ランサムウェアに感染した場合の初動対応は下記の記事を参照してください。
感染端末をネットワークから切り離す
ランサムウェアはネットワーク内で迅速に広がります。感染端末をネットワークから切り離すことで、ランサムウェアの侵攻が他の端末に広がるのを防ぐことができます。
なお、ランサムウェアはネットワーク内で迅速に広がることがあり、他の端末に感染するリスクが高ま感染した端末を切り離すことで、被害の拡大を防止できます。
身代金を支払わない
攻撃者からの身代金要求に応じることはおすすめできません。攻撃者に身代金を支払うことは、ランサムウェア攻撃を利益に結びつける行為です。支払いが行われれば、攻撃者はその成功を報酬として受け取り、より多くの攻撃を行う可能性があります。そもそも、身代金の支払いにより、サイバー犯罪の拡大につながる可能性があります。
したがって、まずセキュリティ専門家や法執行機関の助けを借りて、解読ツールや復号方法の確認を試みましょう。
バックアップから復旧する
ランサムウェアに感染した場合、バックアップからデータを復元することで、被害を最小限に抑えることができます。ただし、これとは別に、攻撃の範囲を特定することも重要で、来の攻撃の防止策を講じることができます。
ランサムウェア感染調査に対応した専門業者を利用する
ランサムウェア感染時、ランサムウェアの感染経路を特定し、再発防止策を講じる必要があります。特に脆弱性を悪用した攻撃を受けた場合、再度、攻撃を受けないためにも、適切な対応を行うとともに、どの端末のどのデータが詐取されたのかを確認する必要があります。
特に法人の場合、個人情報漏えいが確認された場合は被害報告が必要ですが、自社調査だけでは客観性や正確性が担保できないことがあります。
たとえばセキュリティツールはマルウェアを検知・駆除こそできますが、感染経路や情報漏えいの有無などを適切に調査することはできません。したがって、ランサムウェア感染時は、感染経路調査に対応した「フォレンジック調査」を利用することが有効です。
◎フォレンジック調査を考えている方へ (お見積りまで完全無料)
フォレンジック調査は、DDF（デジタルデータフォレンジック）までご相談ください。
累計32,377件のご相談実績(※1)があり、他社にはないデータ復旧業者14年連続国内売上No.1のデータ復旧技術(※２)とフォレンジック技術を駆使してお客様の問題解決をサポートします。
✔不正アクセスの形跡があると報告された
✔ランサムウェアやマルウェア感染の原因がわからない
✔データが漏えいしているかもしれない
上記のようなご相談から調査項目/作業内容のご提案、お見積りまでは完全無料。安心してご相談ください。
＼24時間365日 相談受付／
※1 データ復旧専門業者とは、自社及び関連会社の製品以外の製品のみを対象に保守及び修理等サービスのうちデータ復旧サービスを専門としてサービス提供している企業のこと
第三者機関による、データ復旧サービスでの売上の調査結果に基づく。（集計期間：2007年～2020年）
※2 累計ご相談件数32,377件を突破（期間：2016年9月1日～）
ランサムウェア感染時は、感染経路の調査を推奨
ランサムウェア感染時は、感染経路調査に対応した「フォレンジック調査」を利用することが有効です。フォレンジック調査とは、コンピューターから証拠を収集・分析し、インシデントの詳細を解明する手法です。たとえば、ランサムウェアの調査では、ランサムウェアの感染経路や感染した端末から流出した情報を特定するために使用されます。
これにより、攻撃者がどのようにランサムウェアを侵入させたか、どのような手法や脆弱性が悪用されたかを特定でき、適切な対応策や復旧プロセスを計画することができます。
ランサムウェア感染時の対処におけるフォレンジック調査のメリットは次のとおりです。
①被害範囲の特定
フォレンジック調査は、感染したシステムやネットワーク内での攻撃の拡散範囲を特定するのに役立ちます。これにより、被害を受けたシステムやデータ、ネットワークの一部を迅速に特定し、対処を開始することができます。
②感染経路や攻撃手法の解析・証拠の確保
フォレンジック調査では、ランサムウェアの攻撃手法や感染経路を解析し、証拠を確保できます。また、証拠の確保は、法的な措置や法執行機関との連携に役立つだけでなく、被害の評価や保険請求のためにも重要な要素となります。
③専門エンジニアの詳細な調査結果が得られる
フォレンジック調査の専門会社には、正確にハッキング被害の実態を確認するために必要な高度な技術を持つ専門エンジニアがいます。
自社調査だけでは不適切な場合がありますが、フォレンジックの専門業者と提携することで、調査結果をまとめた報告書が作成でき、公的機関や法廷に提出することができます。
④セキュリティの脆弱性を発見し、再発を防止できる
フォレンジック調査では、マルウェアによる被害の程度や感染経路を特定することで、今後のリスクマネジメントに貢献することが出来ます。弊社では、解析調査と報告書作成の他に、お客様のセキュリティを強化するためのサポートも提供しています。
私たちデジタルデータフォレンジックは官公庁、上場企業、捜査機関等を含む幅広いインシデントに対応経験があります。お電話またはメールでお問合せいただくと、状況のヒアリングと対応方法、お見積りを無料でご案内いたしますので、まずはお気軽にご相談ください。
＼フォレンジック調査の専門家へ24時間365日無料相談／
ランサムウェア感染による企業の情報漏えいインシデント対応が義務化されています
2022年4月から改正個人情報保護法が施行されました
2022年4月に施行された「改正個人情報保護法」では、個人データの漏えい、あるいは漏えいが発生する可能性がある場合、報告と通知が法人に義務付けられました。
違反した企業には最大1億円以下の罰金が科せられる可能性がありますので、もしALPHV（BlackCat）ランサムウェアに感染した場合、まずは感染経路や漏えいデータを確認することが重要です。
しかし、被害の調査を行う場合、法的知識や専門技術が必要です。自社のみで対応するのは困難であるため、コンピューターやネットワーク上のデータを収集・分析する「フォレンジック専門家」と提携して調査を実施することをおすすめします。
＼相談から最短30分でWeb打ち合わせを開催／
ALPHV（BlackCat）ランサムウェアによる被害調査を行う場合、専門業者に相談する
マルウェア・ランサムウェア感染、不正アクセスのような問題が発生した場合、どのような経路で、どのような情報が漏えいしたのか、被害の全容を正確に把握する必要があります。しかし、自力で調査を行うと、調査対象範囲が適切でなかったり、意図しない証拠データの消失が発生しやすく、不完全な結果になる恐れがあります。
このような事態を防ぎ、適切な調査によって原因究明を行うためにも、フォレンジック調査の専門家に相談することが重要です。フォレンジック調査では、インシデント対応のプロが初動対応から、専門設備でのネットワークや端末の調査・解析、調査報告書の提出、ならびに報告会によって問題の解決を徹底サポートします。
デジタルデータフォレンジックでは、お電話またはメールでお問合せいただくと、状況のヒアリングと対応方法、お見積りを無料でご案内いたします。法人様の場合、ご相談から最短30分で初動対応のWeb打合せも開催しておりますので、お気軽にご相談ください。
官公庁・上場企業・捜査機関等まで幅広い調査対応経験を持つ専門の担当とエンジニアが対応させていただきます。
＼法人様・個人様問わず対応 24時間365日無料相談OK！／
フォレンジックサービスの流れや料金については下記からご確認ください。
【初めての方へ】フォレンジックサービスについて詳しくご紹介
【サービスの流れ】どこまで無料？ 調査にかかる期間は？ サービスの流れをご紹介
【料金について】調査にかかる費用やお支払方法について
【会社概要】当社へのアクセス情報や機器のお預かりについて
多くのお客様にご利用いただいております
ALPHV（BlackCat）ランサムウェア調査会社への相談方法
インシデントが発生した際、フォレンジック調査を行うか決定していない段階でも、今後のプロセス整理のために、まずは実績のある専門会社へ相談することを推奨しています。
取引先や行政に報告する際、自社での調査だけでは、正確な情報は得られません。むしろ意図的にデータ改ざん・削除されている場合は、情報の信頼性が問われることもあります。
インシデント時は、第三者機関に調査を依頼し、情報収集を行うことを検討しましょう。
DDF（デジタルデータフォレンジック）では、フォレンジックの技術を駆使して、法人/個人を問わず、お客様の問題解決をいたします。
当社では作業内容のご提案とお見積りのご提示まで無料でご案内しております。
解析した結果は、調査報告書としてレポートを作成しています。作成した報告書には、調査で行った手順やインシデントの全容などが詳細に記載され、法執行機関にも提出可能です。
＼法人様・個人様問わず対応 24時間365日無料相談OK！／
ALPHV（BlackCat）ランサムウェア調査の料金・目安について
調査の料金・目安について
専門のアドバイザーがお客様の状況を伺い、概算の見積りと納期をお伝えいたします。
機器を来社お持込み、またはご発送頂ければ、無料で正確な見積りのご提出が可能です。
まずはお気軽にお電話下さい。
【法人様限定】初動対応無料（Web打ち合わせ・電話ヒアリング・現地保全）
❶無料で迅速初動対応
お電話でのご相談、Web打ち合わせ、現地への駆け付け対応を無料で行います（保全は最短2時間で対応可能です。）。
❷いつでも相談できる
365日相談・調査対応しており、危機対応の経験豊富なコンサルタントが常駐しています。
❸お電話一本で駆け付け可能
緊急の現地調査が必要な場合も、調査専門の技術員が迅速に駆け付けます。（駆け付け場所によっては出張費をいただく場合があります）
よくある質問
対応内容・期間などにより変動いたします。
詳細なお見積もりについてはお気軽にお問い合わせください。
専門のアドバイザーがお客様の状況を伺い、概算の見積りと納期をお伝えいたします。
可能です。当社は特定の休業日はございません。緊急度の高い場合も迅速に対応できるように、365日年中無休で対応いたしますので、土日祝日でもご相談下さい。
もちろん可能です。お客様の重要なデータをお取り扱いするにあたり、当社では機密保持誓約書ををお渡しし、機器やデータの取り扱いについても徹底管理を行っております。また当社では、プライバシーの保護を最優先に考えており、情報セキュリティの国際規格（ISO24001）およびPマークも取得しています。法人様、個人様に関わらず、匿名での相談も受け付けておりますので、安心してご相談ください。
