2023年3月に出現したAkiraランサムウェアは、RaaSと呼ばれるビジネスモデルが採用されています。これは感染に必要な一式をサービスとして提供し、誰でもランサムウェア攻撃が可能になるといったものです。

Akiraランサムウェアに感染すると、ファイルなどが暗号化され、末尾には「.akira」拡張子が追加されます。

この記事では、Akiraランサムウェアの特徴や、被害に遭った場合の対処法などを解説します。ぜひ参考にしてください。

Akiraランサムウェアの特徴

Akiraは、コンピューター上の保存ファイルを暗号化し、暗号を解除する復号キーと引き換えに身代金の支払いを要求するランサムウェアです。その特徴には以下のものが挙げられます。

LinuxやWindowsを標的にしている

Akiraランサムウェアが主に標的にしているのは、WindowsPCとLinuxサーバです。

Akiraランサムウェアが確認された当初はWindowsPCが標的にされていましたが、2023年6月には、アメリカの企業を中心に、Linuxサーバにも感染していることが確認されています。

特にLinuxサーバを標的とするタイプはVMWare ESXiサーバーを狙う傾向にあります。

出典：Bleeping computer

VPNの脆弱性をついて感染する

VPNとはパソコンとインターネットの通信を暗号化し、セキュリティを強化できる機能です。

ブラウザがVPNサーバーにアクセスすると通常はVPN認証が行われますが、Akiraランサムウェアの攻撃者はシステムの脆弱性の検知や認証情報の窃取を実行し、認証を行わずに侵入します。

ネットワークに侵入後、攻撃者はセキュリティソフトを弱体化・無効化する動きをみせることが報告されています。Akiraランサムウェアの場合は、標的とするWindowsの標準セキュリティソフトである「Windows Defender」を事前に無効化していることが報告されています。

その後リモートツールで機密情報を事前に窃取した後にAkiraランサムウェアが実行され、ファイルの暗号化と身代金の要求が行われます。

出典：news.sophos.com

ごみ箱内のデータや.exeなど一部のフォルダーは感染しない

Akiraランサムウェアは、.accdbや .nvramといったデータベース関連の拡張子に感染する一方で、一部のフォルダーやシステムファイルには感染しないことが判明しています。感染しないフォルダーの例は以下の通りです。

• ごみ箱のフォルダー
• システムボリューム情報
• ブート情報
• ProgramDataフォルダー
• Windowsフォルダー

またAkiraランサムウェアが感染しないWindowsシステムファイルは以下の通りです。

• .exe
• .lnk
• .dll
• .msi
• .exe
• .sys

ただしAkiraランサムウェアがアップデートされることで、感染するファイルの種類が増加する可能性があります。VPN/RDPのパスワードを複雑なものに変更する、不審なメールを開かないように、メールアドレスをチェックするなど、セキュリティ体制を強化しておきましょう。

出典：pcrisk.com

Contiランサムウェアと類似している

Akiraランサムウェアは、2020年に確認されたContiランサムウェアと類似性があることが判明しています。

Contiランサムウェアと類似している点は以下の通りです。

• Akiraランサムウェアが感染しないファイル
• 暗号化アルゴリズム
• ファイル末尾の構造

Contiは、2020年に医療機関のシステムを標的にしたことで話題になったランサムウェアです。Akira・Contiランサムウェアに類似性がみられることから、同一グループが作成したか、グループメンバー同士に何かしらの関連性があることが推測されています。

　　出典：avast.

Akiraランサムウェアは教育機関や投資会社など幅広い企業を標的にしている

Akiraランサムウェアの被害に遭った企業は、デイケアサービスから、教育機関、投資会社など多岐にわたります。

情報漏えいが判明したとあるアメリカの施工管理会社では、会社が着手している仕事の内容や、顧客の個人情報、社内の人員配置に関する情報などの機密情報が流出したことが判明しています。

Akiraランサムウェアは中小企業を標的にし、身代金は200,000$から数百万$（200,000$は日本円で約3,000万円）を請求していることが判明しています。侵入された中小企業の業種は千差万別ですが、セキュリティの脆弱性やフィッシングメールを利用して感染させているため注意が必要です。

出典：redpacketsecurity.com

出典：Medium

Akiraランサムウェアに感染し、個人情報や機密情報が漏えいした場合、個人情報保護法が適用され、「当該個人情報の本人に対して通知すること」を義務付けています。

しかし、この条項に違反し、措置命令を無視した場合、組織は最大で1億円の罰金を科せられる可能性があります。これにかぎらず、顧客が組織との取引を停止するなど、風評被害による経済的損失をともないます。

ランサムウェアによる損失を最小限に抑えるには、フォレンジック調査が有効です。フォレンジック調査とは、ランサムウェア感染時に被害状況の把握や報告用レポートの作成を第三者である専門家が行うため、そのまま外部への報告に使用することが可能です。

ランサムウェア感染時に有効なフォレンジック調査とは

フォレンジック調査とは、不正アクセスされたコンピューターのログ調査や、デジタルデータの証拠保全を行い、情報漏洩や不正アクセス等のインシデント原因を特定する調査です。

ハッキングやマルウェア感染、従業員の不正や犯罪の調査などに利用され、変質しやすいデジタルデータを適切に収集し、裁判などの証拠としても取り扱えるようにすることができます。

ランサムウェアの場合は、ネットワーク全体をスキャンし、ランサムウェアに感染した端末を全て特定します。次に、ランサムウェアに感染した端末をスキャンし、感染経路や感染日時などを明らかにします。次に機密情報や個人情報の不正取得や、ダークウェブ上に漏洩していないか解析し、調査結果を調査報告書にまとめます。

デジタルデータフォレンジックなら、感染経路・被害状況の特定だけでなく、記憶媒体から故意に消去されたデータの復旧や、社内セキュリティの強化もご提案可能です。さらに法人様限定で専門の技術員による出張対応も受け付けておりますので、まずはご相談ください。

フォレンジック調査とは？メリットやインシデント別の調査事例を解説フォレンジック調査とはデジタル機器を調査・解析し、「法的証拠」に関わる情報を抽出し、インシデントの全容を解明する調査です。本記事ではフォレンジック調査の必要性・活用事例を解説します。...

Akiraランサムウェアに感染するとどうなるのか

Akiraランサムウェアに感染すると以下の手順で暗号化が行われ、情報漏洩や業務停止といった被害が発生します。

「.akira」拡張子がファイルに追加される

悪意のあるファイルをダウンロードし、実行することで、Akiraランサムウェアはデータを暗号化します。この時、暗号化されたデータやファイルの末尾には「.akira」拡張子が追加されます。

例えば、「1234.jpg」というファイルであれば、Akiraランサムウェアに感染すると「1234.jpg.akira」とファイル名が変更され、データにアクセスできなくなります。

データが暗号化され、ランサムノート「akira_readme.txt」「fn.txt」が表示される

Akiraランサムウェア実行可能ファイルが実行されると、ファイルは、バイナリ内に文字列として含まれるランサムノート（身代金メモ）を表示させます。

「akira_readme.txt」「 fn.txt 」と題されたAkiraランサムノートには以下の内容が記載されています。

• Akiraサイトのリンク
• 連絡用のメールアドレス
• 脅迫文

脅迫文には「身代金を支払わなければ、情報を公開する」といった内容と、連絡用のURLが記載されています。内容を要約すると以下の通りです。

これを読んでいるということは、会社の内部インフラが完全または部分的に停止し、すべてのバックアップが完全に削除されていることを意味します。さらに、当社は暗号化する前に大量の企業データを取得しました。

現時点では、次のことを知っておく必要があります。

1. 私たちはお客様の財務、銀行および損益計算書、貯蓄、投資などを徹底的に調査し、合理的な要求をお客様に提示します。アクティブなサイバー保険に加入されている場合は、お知らせください。適切な使用方法をご案内します。また、交渉プロセスが長引くと合意の失敗につながります。

2. 身代金を支払うと、約24時間以内にシステムを元に戻すことができます。自身で回復する場合は、一部のファイルに永久にアクセスできなくなったり、誤ってファイルを破損したりする可能性があることに留意してください。この場合、私たちはサポートできません。

3. 身代金を支払わないなど、こちらが看過できない行動をとった場合、個人情報/企業秘密/データベース/ソース コード (一般的に言えば、ダークウェブ上で価値のあるものはすべて) を一斉に販売し、その一部始終をブログで公開いたします。

弊社のサポートや提供するサービスにご興味がございましたら、簡単な手順に従ってお問い合わせください。

1. ブラウザをインストールして、チャット ルーム (hxxps://××××/) にアクセスします。
2. このリンクを貼り付けます 。
3. このコードを使用して、チャットにログインします。

ただし、Akiraランサムウェアに感染した時点で個人情報や機密情報などは流出しているため、身代金の支払いは推奨されません。身代金を支払ったとしても復号キーで暗号化が解除されるとは限らず、身代金が犯罪の資金となって企業のステークスホルダーを攻撃する可能性があるためです。

出典：pcrisk.com

データが漏えいする

Akiraランサムウェアは、感染したシステムからデータを盗み出します。これにより、機密情報や個人情報が漏えいするリスクが生じます。

漏洩したデータはAkiraの攻撃グループが運営するリークサイトに掲載され、不特定多数に閲覧される場合があります。

この場合、警察などから漏洩を知らされることがあり、

これにかぎらず、顧客が組織との取引を停止するなど、風評被害による経済的損失をともなう場合もあります。

二重恐喝される

Akiraランサムウェアに感染すると、犯人から「データをダークウェブ上のリークサイトで公開する」などの内容が書かれたランサムノート（身代金メモ）が送られます。

この時決して身代金を支払ってはいけません。追加で身代金の支払いを要求されたり、後日支払った企業の責任を追及される場合があります。

またAkiraランサムウェアは脆弱性などを利用して、身代金の支払いとは関係なく個人情報を入手している場合があります。

このようにランサムウェア感染によって情報漏洩が発覚した場合、個人情報保護法に基づき、速やかに事実関係と再発防止策を個人情報保護委員会まで報告し、漏洩した本人にも通知しなければなりません。

措置命令を無視した場合、組織は最大で1億円の罰金を科せられる可能性があります。

フォレンジック調査会社であれば、ランサムウェア感染時に専門家による被害状況の把握や外部への報告用レポートを作成できるため、ランサムウェアやその他マルウェアの感染が疑われる場合は速やかにご相談ください。

＼ランサムウェア感染の相談がしたい方へ／

ネットワークフォレンジックとは？必要性や出来ること・活用事例を解説ネットワークフォレンジックは、ネットワーク上に流れる情報を集め、セキュリティインシデントの原因などを調査する技術です。デジタルデータフォレンジック（DDF）ではサイバー攻撃の感染経路や、社内不正端末の特定が可能です。365日年中無休・相談見積無料。 ...

Akiraランサムウェアの感染経路とは

ランサムウェアの感染を防ぐためには、感染ルートを理解し、適切な対策を取ることが重要です。主要なランサムウェアの感染経路は下記のとおりです。

ランサムウェア感染の被害を最小限に抑えるためには、被害に遭った時点ですぐにランサムウェアの侵入経路や被害の範囲を把握し、情報漏えいの有無を特定できる「フォレンジック調査」の専門家に対応を依頼することが重要です。

被害に遭った場合、速やかにフォレンジック調査を実施し、被害を最小限に抑えましょう。またランサムウェアは、アンチウイルスソフトを無効化して暗号化を行うため、EDR等で対策が必要です。

VPNの脆弱性

警察庁の調査によると、ランサムウェア感染において、VPN機器からの侵入は全体の71％を占めています。

近年のAkiraランサムウェアはSonicWall製ファイアウォールの脆弱性である「CVE-2024-40766」を利用してネットワークにに侵入し、リモートでランサムウェアを実行する手口を使用していることが確認されています。

その他にもCisco製品の脆弱性である「CVE-2020-3259」「CVE-2023-20263」を利用して、攻撃者が任意のタイミングでAkiraランサムウェアに感染させる手口も見られました。

出典：警察庁

出典：Cisco Talos

RDP（リモートデスクトップ）の脆弱性

警察庁の調査によると、RDP（リモートデスクトップ）は、ランサムウェアの侵入経路として10％を確保しています。

RDPもVPNも、組織におけるシステム上重要な役割を担っていますが、重大な脆弱性も報告されており、ここから攻撃者はIDやパスワード情報を割り出し、不正ログインや権限昇格を行い、感染拡大を図っています。

被害を未然に防ぐためにも、パスワード更新、定期的なセキュリティチェックなどが必要です。またVPNも同様に、機密情報の暗号化や不正アクセスの監視などが必要です。

VPN/RDPの脆弱性を悪用する攻撃はこちら

出典：警察庁

フィッシングメールや添付ファイル

Akiraランサムウェアはフィッシングメールや添付ファイルを利用して感染することがあります。

攻撃者が実在する企業や人物になりすまし、緊急性を強調したメールを送信します。これらのメールには、ランサムウェアを含む悪意のある添付ファイルや不審なリンクが含まれています。

受信者が添付ファイルを開いたり、リンクをクリックしたりすると、ランサムウェアがダウンロードされ、感染が始まります。特に、社長や上司に成りすますことで、請求書や見積書を装った文書ファイルを開かせて、感染させることもあります。

メールを感染源とするランサムウェアについて詳しくはこちら

Akiraランサムウェア感染時の対応

Akiraランサムウェア感染時、感染経路調査を行うメリット