お問い合わせ
Qilin（Agenda）は、2022年に初めて発見されたランサムウェアです。
このランサムウェアは、主に大手企業やインフラ組織を標的としており、感染すると暗号化されたファイルにランダムな拡張子を付けて暗号化し、身代金を要求します。
この記事では、Qilinランサムウェアの特徴を交えつつ、被害に遭った場合の対処法などを解説します。ぜひ参考にしてください。
目次
Qilinランサムウェアの特徴
Qilinランサムウェアは、Rust言語やGo言語で書かれており、暗号化技術が非常に強力とされます。復旧が困難なため、セキュリティ専門家から懸念されています。
- Rust言語やGo言語で書かれている（高速暗号化＋検出回避）
- Windows、ESXi、その他のOSを標的としている
- RaaSとして世界中のサイバー犯罪者に利用される
- 要求額は25,000ドルから数百万ドルの範囲
Rust言語やGo言語で書かれている（高速暗号化＋検出回避）
Qilinは、Rust言語やGo言語で書かれています。RustとGoは両方とも実行速度が速く、暗号化が高速に実行されるため、ランサムウェアにとって好都合な言語と言えます。
特に2024年以降、Rust言語で開発された「Qilin.B」が確認され、強力な暗号化技術と広範な攻撃範囲を備えていることから、従来以上に高度なセキュリティ対策の重要性が高まっています。
Windows、ESXi、その他のOSを標的としている
Qilinランサムウェアは、主にWindows、Linux、その他のOS（VMware ESXiなど）を標的として感染を広げることができます。
これは、Rust言語により複数のOS向けにマルウェアを柔軟に作り替えることができるためです。
RaaSとして世界中のサイバー犯罪者に利用される
Qilinは、RaaS（Ransomware as a Service）モデルのランサムウェアです。
RaaSとは、サイバー犯罪者がランサムウェアのツールやインフラを他者に提供するモデルであり、技術的なスキルを持たない者でも容易に攻撃を実行できます。
Qilinランサムウェアの攻撃グループは、2022年8月末に「Agenda」という名前でRaaSのプラットフォームを立ち上げました。
RaaSとして利用したことが確認される組織には「Scattered Spider」や、北朝鮮のサイバー攻撃グループ「Moonstone Sleet」が確認されています。
出典：SC media
要求額は25,000ドルから数百万ドルの範囲
Qilinランサムウェアによる身代金の要求額は、25,000ドル（約350万円）から数百万ドルまでの範囲に及びます。要求額は、標的となった組織の規模や業種、保有するデータの重要性など、複数の要因によって変動します。
たとえば、大企業や、個人情報、独自技術といった機密性の高い情報を扱う業種が標的となった場合、攻撃者はその価値を利用して、より高額な金額を要求する傾向があります。
ただし、身代金を支払ったとしても、必ずしもデータが復号されるとは限りません。さらに、攻撃者が要求額を吊り上げたり、盗んだ情報を不特定多数に公開するケースも報告されています。
ランサムウェア感染が疑われる場合には、早急にサイバーセキュリティの専門家に相談し、被害状況の調査や復号の可否、再発防止策などについて助言を受けることが重要です。
＼24時間365日受付 初動対応のご相談・お見積もり無料／
Qilinランサムウェアに感染するとどうなるのか
Qilinランサムウェア感染時の症状は次のとおりです。
- ファイルの拡張子がランダムな拡張子に変わる
- 身代金を要求するテキストファイル「README-RECOVER-（ランダムな文字列）.txt」が追加される
- 二重恐喝される
ファイルの拡張子がランダムな文字列に変わる
画像出典：secneurx.com
Qilinに感染すると、暗号化されたファイルの拡張子が「.MmXReVIxLV」のようなランダムな文字列に変更されます。
これにより、被害者は自分のファイルが暗号化されていると自覚しやすく、アクセスを取り戻すには身代金を支払う必要があることが誰にとっても明確になります。
出典：PCrisk
身代金を要求するテキストファイル「README-RECOVER-（ランダムな文字列）.txt」が各ディレクトリに生成される
画像出典：secneurx.com
Qilinランサムウェアに感染した場合、「README-RECOVER-（ランダムな文字列）.txt」というファイルが各ディレクトリに生成されます。
このファイルには、「システムが暗号化されたこと」「データをダウンロードしたこと」「連絡を拒否し合意しない場合、データを公開すること」が記載されています。これは被害者に対して圧力を与え、攻撃者の要求に従わせるための心理的な戦術といえるでしょう。
出典：secneurx.com
二重恐喝される
ランサムウェアの二重恐喝（Double Extortion）とは、通常のランサムウェア攻撃に加えて、攻撃者が被害者に対してさらなる脅迫を行う手法です。
通常のランサムウェア攻撃では、攻撃者は被害者のデータを暗号化し、被害者が身代金を支払うことで、攻撃者は暗号化されたデータの復号キーを提供します。
通常の攻撃はこれで終わりですが、二重恐喝では、データの暗号化と同時に、暗号化されたデータの一部または全体を外部にコピーし、「身代金を支払わない場合、暗号化されたデータを公開する」と警告することで、被害者により一層の圧力をかけます。
実際にQilinランサムウェアの攻撃グループは盗んだ情報を公開するリークサイトをダークウェブ上に所有しており、盗まれた情報を公開された企業は130以上にのぼります。
拡張子が変更された時点で情報漏えいの可能性が極めて高い
Qilinランサムウェアは、感染時にGoogleの資格情報などを盗もうとすることが判明しています。これは最終的にユーザーがログインしたすべてのデバイスに入力された認証情報を収集し、追加の不正アクセスやランサムウェア感染を引き起こしてしまう可能性があることを意味します。
よって、端末のファイルが暗号化された時点で情報漏えいなどが発生している可能性が極めて高くなるため、ランサムウェア感染の疑いがある場合は至急ランサムウェアの感染被害調査を専門家に相談しましょう。
フォレンジック調査とは、コンピューターから感染の痕跡を証拠として収集し、ランサムウェアをはじめとするインシデントの詳細を解明する科学的手法です。
私たちデジタルデータフォレンジックは、これまでランサムウェア感染をはじめ、不正アクセスやハッキングを含む幅広いインシデントに対応経験があります。
これまでに培われた調査技術をもって、攻撃に使用された侵入経路や漏えいデータを迅速に特定し、今後のセキュリティ対策や法的対応のサポートをいたします。ご相談や詳細な情報については、いつでもお気軽にお問い合わせください。
＼法人様は相談から最短30分でWeb打ち合わせを開催／
Qilinランサムウェアの被害事例
Qilinランサムウェアの被害事例を一部紹介します。
- 2023年11月 Yanfeng Automotive Interiors（Yanfeng）
- 2023年12月 ビクトリア州裁判所サービス（CSV）
- 2024年6月 英病理検査機関Synnovis
2023年11月 Yanfeng Automotive Interiors（Yanfeng）
11月初旬、Yanfengがサイバー攻撃の被害を受けたことで、Yanfengより部品を購入していた北米の自動車製造会社のステランティスで北米の工場での生産停止を余儀なくされたと報じられました。Yanfengは中国の自動車部品開発・製造会社で、世界50カ国以上で230以上の製造工場を運営しています。
この攻撃の影響でYanfengのWebサイトはアクセス不能でしたが、2024年6月時点では復旧しています。Yanfengから障害に関する声明は出ていません。
「Agenda」としても知られるQilinランサムウェアグループは、データ漏洩恐喝サイトにYanfengを追加し、Yanfengへの攻撃を主張しました。
ステランティス：2021年に設立された多国籍自動車製造会社。フランスの自動車メーカーグループPSAと、イタリアおよびアメリカの自動車メーカーのフィアット・クライスラー・オートモービルズ（FCA）が折半出資で合併して誕生した。2022年の販売台数でトヨタ、フォルクスワーゲン・グループ、現代自動車グループに次ぐ、世界第4位の自動車メーカーです。
このような企業や組織の取引先やパートナー（サプライヤー）を攻撃の入口として利用し、本来の標的に間接的に侵入する手法を「サプライチェーン攻撃」と呼びます。
2023年12月 ビクトリア州裁判所サービス（CSV）
オーストラリアのビクトリア州裁判所サービス（CSV）は、2023年12月21日にサイバー攻撃を検出したとの声明を発表しました。この攻撃によりハッカーが業務を妨害し、機密性の高い聴取記録を含む視聴覚アーカイブにアクセスしたと述べています。
影響を受けたシステムは直ちに隔離され無効化されましたが、その後の調査で、侵害は2023年12月8日という早い時期に発生しており、漏洩した記録は2023年11月1日まで遡ることが明らかになりました。
CSVは攻撃の犯人を公表していませんが、 ABCニュースではQilinランサムウェア集団が攻撃を実行したと言われています。
出典：CSV
2024年6月 英病理検査機関Synnovis
英国民保健サービス（NHS）は、英病理検査機関Synnovisが6月3日にランサムウェア攻撃を受けた際に流出した患者データの内、約400GBの個人情報がQilinによって公開されたと発表しました。
BBCが確認したデータのサンプルには、患者の名前、生年月日、NHS番号(英国の国民保健サービス番号）、血液検査結果の詳細などが含まれているようです。
元国家サイバーセキュリティセンター所長で現在はオックスフォード大学教授のマーティン氏は、BBCラジオ4のワールド・アット・ワン番組で、システムが復旧するまでに数か月かかる可能性があると語りました。
その後Synnnovisは2024年9月19日に一部のシステムを除き、復旧が完了しています。
出典：BBC
出典：Synnovis
Qilinランサムウェアの感染経路とは
Qilinランサムウェアの感染経路としては次のものが挙げられます。
- システムのパッチが未適用の機器
- フィッシングメール
- VPN/RDP（リモートデスクトップ）の脆弱性を悪用される
ランサムウェアの感染経路を確認する方法は、下記の記事でも詳しく解説しています。
システムのパッチが未適用の機器
システムのパッチが適用されていないと、Qilinランサムウェアに感染する恐れがあります。
Qilinランサムウェアは、Fortinet製品やVeeam Backup & Replicationの脆弱性が侵入に利用されることが調査により判明しています。
システムのパッチは、ソフトウェアの開発元やベンダーから提供されます。パッチは、ソフトウェアの脆弱性を修正したり、機能やパフォーマンスを向上させたりするために提供されます。パッチは公表後、できるだけ早く適用することをおすすめします。
システムの脆弱性を攻撃する「ゼロデイ」攻撃については以下の記事でも紹介しています。
フィッシングメール
フィッシングメールとは、不正なマクロを含むファイルなどを添付した詐欺メールです。
フィッシングメールの件名は、標的先企業に関係する事柄である場合が多く、たいていの場合、企業に関連する組織から詐取したメール情報を流用しているパターンと考えられます。
仮にフィッシングメールを開封してしまうと、不正なマクロが実行されてランサムウェアに感染してしまいます。不審なメールやリンクを開かないように注意してください。
VPN/RDP（リモートデスクトップ）の脆弱性を悪用される
VPNやRDP（リモートデスクトッププロトコル）は、遠隔地にある端末にリモートアクセスできる技術です。
VPNやRDPを経由した攻撃に対するセキュリティ対策が不十分だと、ランサムウェアに感染してしまうリスクが非常に高いです。
たとえば安全でないパスワード（一般的な単語や数字の組み合わせ）を使用していたり、そもそもオンライン上にRDPを公開していると、総当たりで認証情報をクラッキングする「ブルートフォース攻撃」の標的になる恐れがあります。
VPNやRDPの脆弱性については下記で詳しく解説しています。
https://digitaldata-forensics.com/column/cyber_security/4439/
Qilinランサムウェア感染時の対応
ランサムウェアに感染した場合は、以下のフローで被害を最小限に抑える必要があります。
感染時は慌てずに、過不足のないフローで適切な対応を取りましょう。 ランサムウェアに感染した場合の対応は次のとおりです。
- 端末をオフラインにする
- リストアする（バックアップから感染前のデータを復旧する）
- ランサムウェア感染調査に対応した専門業者を利用する
①端末をオフラインにする
まずは、ネットワークから感染した端末を切り離す必要があります。これにより感染が広がることを防ぐことができます。
②リストアする（バックアップから感染前のデータを復旧する）
さらに、感染したサーバーのバックアップを確認し、最新のバックアップからデータを復元することができます（これをリストアと言います）。これにより、被害を回復することができます。
ただし、ランサムウェア感染時は、復旧だけではなく、攻撃経路の特定や、再発防止策の検討が必要となります。攻撃に遭った場合は「フォレンジック調査」を検討しておきましょう。
③ランサムウェア感染調査に対応した専門業者を利用する
ランサムウェア感染時は、感染経路を特定し、再発防止策を講じる必要があります。
たとえば「脆弱性」を悪用した攻撃を受けた場合、再攻撃を受けないよう、適切な対応を行うとともに、どの端末の、どのデータが被害に遭ったのかを確認する必要があります。
特に法人の場合、個人情報の漏えいが疑われる際は、関係各所に向けた「被害報告」が必要ですが、自社調査だけでは客観性や正確性が担保できないことがあります。セキュリティツールはマルウェアを検知・駆除できますが、感染経路や情報漏えいの有無を適切に調査することはできないからです。
したがって、ランサムウェア感染時は、感染経路調査に対応した「フォレンジック調査」を利用することが有効です。
◎フォレンジック調査を考えている方へ (お見積りまで完全無料)
フォレンジック調査は、DDF（デジタルデータフォレンジック）までご相談ください。
累計39,451件のご相談実績(※1)があり、他社にはないデータ復旧業者14年連続国内売上No.1のデータ復旧技術(※２)とフォレンジック技術を駆使してお客様の問題解決をサポートします。
✔不正アクセスの形跡があると報告された
✔ランサムウェアやマルウェア感染の原因がわからない
✔データが漏えいしているかもしれない
上記のようなご相談から調査項目/作業内容のご提案、お見積りまでは完全無料。安心してご相談ください。
＼24時間365日 相談受付／
※1 累計ご相談件数39,451件を突破（期間：2016年9月1日～）
※2 データ復旧専門業者とは、自社及び関連会社の製品以外の製品のみを対象に保守及び修理等サービスのうちデータ復旧サービスを専門としてサービス提供している企業のこと
第三者機関による、データ復旧サービスでの売上の調査結果に基づく。（集計期間：2007年～2020年）
◎フォレンジック調査を考えている方へ (お見積りまで完全無料)
フォレンジック調査は、DDF（デジタルデータフォレンジック）までご相談ください。
累計39,451件のご相談実績(※1)があり、他社にはないデータ復旧業者14年連続国内売上No.1のデータ復旧技術(※２)とフォレンジック技術を駆使してお客様の問題解決をサポートします。
✔不正アクセスの形跡があると報告された
✔ランサムウェアやマルウェア感染の原因がわからない
✔データが漏えいしているかもしれない
上記のようなご相談から調査項目/作業内容のご提案、お見積りまでは完全無料。安心してご相談ください。
＼24時間365日 相談受付／
※1 累計ご相談件数39,451件を突破（期間：2016年9月1日～）
※2 データ復旧専門業者とは、自社及び関連会社の製品以外の製品のみを対象に保守及び修理等サービスのうちデータ復旧サービスを専門としてサービス提供している企業のこと
第三者機関による、データ復旧サービスでの売上の調査結果に基づく。（集計期間：2007年～2020年）
ランサムウェアに感染した場合、感染経路を調査することで、攻撃者の侵入方法を特定し、将来の攻撃から身を守るために対策を講じることができます。
ランサムウェア感染の調査を行う方法として「フォレンジック調査」を挙げることができます。フォレンジック調査とは、電子機器から証拠を収集・分析して、インシデントの詳細を解明する手法で、たとえば攻撃者がどのようにランサムウェアを侵入させたか、どのような手法や脆弱性が悪用されたかなど、感染経路や情報漏えいの特定に役立ちます。
ランサムウェア感染時の対処におけるフォレンジック調査のメリットは次のとおりです。
- 被害範囲を特定できる
- 感染経路や攻撃手法の解析・証拠が確保できる
- 専門エンジニアの詳細な調査結果が得られる
- セキュリティの脆弱性を発見し、再発を防止できる
①被害範囲を特定できる
フォレンジック調査は、感染したシステムやネットワーク内での攻撃の拡散範囲を特定するのに役立ちます。これにより、被害を受けたシステムやデータ、ネットワークの一部を迅速に特定し、対処を開始することができます。
②感染経路や攻撃手法の解析・証拠が確保できる
フォレンジック調査では、ランサムウェアの攻撃手法や感染経路を解析し、証拠を確保できます。また、証拠の確保は、法的な措置や法執行機関との連携に役立つだけでなく、被害の評価や保険請求のためにも重要な要素となります。
③専門エンジニアの詳細な調査結果が得られる
フォレンジック調査の専門会社には、正確にハッキング被害の実態を確認するために必要な高度な技術を持つ専門エンジニアがいます。
自社調査だけでは不適切な場合がありますが、フォレンジックの専門業者と提携することで、調査結果をまとめた報告書が作成でき、公的機関や法廷に提出することができます。
④セキュリティの脆弱性を発見し、再発を防止できる
フォレンジック調査では、マルウェアによる被害の程度や感染経路を特定することで、今後のリスクマネジメントに貢献することが出来ます。弊社では、解析調査と報告書作成の他に、お客様のセキュリティを強化するためのサポートも提供しています。
私たちデジタルデータフォレンジックは官公庁、上場企業、捜査機関等を含む幅広いインシデントに対応経験があります。お電話またはメールでお問合せいただくと、状況のヒアリングと対応方法、お見積りを無料でご案内いたしますので、まずはお気軽にご相談ください。
＼フォレンジック調査の専門家へ24時間365日無料相談／
企業の情報漏えいインシデント対応が義務化されています
2022年4月から改正個人情報保護法が施行されました
2022年4月に施行された「改正個人情報保護法」では、個人データの漏えい、あるいは漏えいが発生する可能性がある場合、報告と通知が法人に義務付けられました。違反した企業には最大1億円以下の罰金が科せられる可能性もあります。
もし、マルウェア・ランサムウェア感染、不正アクセス、社内不正、情報持ち出しのような情報セキュリティ上の問題が発生した場合、まずは感染経路や漏えいしたデータの有無などを確認することが重要です。
ただ、調査を行うには、デジタルデータの収集・解析などの専門技術が必要です。これは自社のみで対応するのが困難なため、個人情報の漏えいが発生した、もしくは疑われる場合は、速やかにフォレンジック専門家に相談し、調査を実施することをおすすめします。
＼相談から最短30分でWeb打ち合わせを開催／
よくある質問
対応内容・期間などにより変動いたします。
詳細なお見積もりについてはお気軽にお問い合わせください。
専門のアドバイザーがお客様の状況を伺い、概算の見積りと納期をお伝えいたします。
可能です。当社は特定の休業日はございません。緊急度の高い場合も迅速に対応できるように、365日年中無休で対応いたしますので、土日祝日でもご相談下さい。
もちろん可能です。お客様の重要なデータをお取り扱いするにあたり、当社では機密保持誓約書ををお渡しし、機器やデータの取り扱いについても徹底管理を行っております。また当社では、プライバシーの保護を最優先に考えており、情報セキュリティの国際規格（ISO24001）およびPマークも取得しています。法人様、個人様に関わらず、匿名での相談も受け付けておりますので、安心してご相談ください。
この記事を書いた人
デジタルデータフォレンジック
エンジニア
