piyolog

piyokangoの備忘録です。セキュリティの出来事を中心にまとめています。このサイトはGoogle Analyticsを利用しています。

標的型ランサムウェア被害企業が1年以上前からEmotetに感染していた可能性についてまとめてみた

マルウェア感染 海外事例 Ransomware

2019年11月17日、米国ウィスコンシン州で介護施設などにMSP事業を行っているVirtual Care Provider Inc（VCPI）は標的型ランサムウェア Ryuk の被害を受け1400万ドル相当の身代金を要求されていたとしてBrain Krebs氏がブログで取り上げました。同氏の取材によれば今回の被害の1年以上前からVCPIがEmotetやTrickBotに侵害されていた可能性を取り上げています。ここでは関連する情報をまとめます。
krebsonsecurity.com

被害を受けたのはMSP事業者

  • VCPIは米国ウィスコンシン州で事業を行っている企業。米国45州に点在する約110の介護施設、救急医療施設を対象としたMSP事業（ITコンサル、ISP、データストレージ、セキュリティ等）を行っている。
  • これらの施設のMSP事業を行うため、約8万台のPC、サーバーの運用を行っており、今回ランサムウェアではこれらの運用設備が被害に遭ったとみられる。
被害の状況

ランサムウェアにより次のサービスが停止するなどの影響が及んだ。

  • インターネットへの接続
  • 電子メールの送受信
  • 患者記録へのアクセス
  • 顧客の請求情報
  • 電話システム
  • VCPIの給与計算などを含む中核のシステム（150人近くの従業員に影響）
VCPIの対応
  • 暗号化されたシステムの復号キーと引き換えに約1400万ドル相当（約1億5千万円）のBitcoinが要求されている。VCPIはこれを支払う余裕はなく、復旧ができない場合一部顧客に影響が及ぶ可能性についてKrebs氏の取材に対し言及している。
  • 介護施設向けのVPNサービスの復旧を優先して作業に当たっている。従業員からは給与支払いへの影響を懸念する声もあるが、医療情報のバックアップ等、生命にかかわる状況の回復が最も優先されるとVCPIのCEOはコメントしている。

VCPIもEmotetに感染していた可能性

  • VCPIの被害事例でもEmotet、またはTrickBot、あるいはその両方に感染し組織内部が侵害されていた可能性がある。これらはRyukによる被害から遅くとも14か月以上前（2018年9月頃）に発生していた模様。
  • これはKrebs氏の取材記事で記載されたもので、Hold SecurityのAlex Holden氏の言質をソースとする情報。
  • Alex氏はダークウェブの通信監視から得た情報よりこれを判断しており、Krebs氏にその情報を公開している。（KrebsOnSecurityの記事中では具体的な内容は記されていない。）

We regret to inform you that our business was attacked with Ryuk encryption ransomware spread by TrickBot virus.

Triple threat、EmotetとTrickbotとRyukの関係
  • Emotetで侵入後、Trickbotで内部拡散し、一部の組織ではその後に標的型ランサムウェア Ryukによる被害を受ける事例がこれまでも報告されている。
  • EmotetからTrickbotの展開までが1セットでその後ランサムウェアの被害を受けるかは実行者側の何らかの判断が入っている（あるいは侵害後の基盤を受けついだ別グループによる行為）という推測が各社により行われている。
  • piyokangoが確認した限りでは、Ryuk被害を明らかにしている日本国内で公知となった事例はない。
直近に起きた標的型ランサムウェアの事例

更新履歴

  • 2019年11月29日 AM 新規作成