ウィンドウズのオペレーティングシステム（OS）に備わるディスク暗号化機能「ビットロッカー（BitLocker）」を悪用し、企業データを暗号化したのち、社内プリンターで身代金要求書（ランサムノート）を出力する新たなランサムウェア攻撃手法が確認された。
6日カスペルスキーによると、カスペルスキー・セキュリティ・サービスの専門家が今年5〜6月にコロンビアとメキシコの企業を対象に発生したランサムウェア攻撃を調査した結果、攻撃者がウィンドウズの正規機能であるビットロッカーを悪用してデータを暗号化し、企業プリンターを用いて身代金要求書を出力する事例を確認したと明らかにした。
攻撃者はインターネットに露出したリモート接続サービスや設定不備のシステムを通じて企業の内部ネットワークに侵入した後、ビットロッカーを用いて主要データを暗号化した。続いて企業プリンターを通じて身代金要求書を出力し、被害企業に費用支払いを迫った。被害者はウィンドウズ・エクスプローラーでドライブ横に錠前アイコンが表示され、ファイルにアクセスできなくなることで攻撃事実を認識したことが分かった。
コロンビアの事例では、攻撃者がインターネットに露出したリモート接続サービスを通じて、重要データが保存された8TBのストレージサーバーに侵入した。その後、ユーザーアカウント情報を変更し、財務データが保存されたドライブをビットロッカーで暗号化したうえで、プリンターを利用してランサムノートを出力した。
メキシコでは、自らを「XEntry Team」と名乗る攻撃者が公開されたソースコードから流出したアカウント情報を確保した後、設定が不十分なマイクロソフトSQL（MS SQL）サーバーを通じて最初に侵入したことが調査で分かった。攻撃者はその後、ウェブサーバーのセキュリティ設定を弱体化させ、数カ月にわたり内部ネットワークへのアクセス権限を維持した。ハッキングは、従業員のPC画面に「Hacked by XEntry Team」という文言が表示されたブルースクリーンが現れ、既存アカウントでログインできなくなったことで露見した。
エドゥアルド・チャバロ・オバレ、カスペルスキーのデジタル・フォレンジックおよびインシデント対応グループのマネージャーは「攻撃者は合法的な管理ツールを悪用してデータを暗号化し、被害企業に身代金の支払いを迫っている」と述べ、「このような攻撃を防御するには、ログを中央で安全に管理し、セキュリティ警告を継続的にモニタリングし、未承認のアクセス兆候を迅速に調査する必要がある」と明らかにした。
イ・ヒョウン、カスペルスキー韓国支社長は「韓国企業は高いデジタル転換水準とともにランサムウェアの脅威にも継続的にさらされている」と述べ、「企業は事故後の対応よりも予防中心のセキュリティ戦略へ転換すべきだ」と語った。続けて「システムの脆弱性と設定ミスを定期的に点検し、非認可アクセスを継続的にモニタリングする一方、脅威を早期に検知して対応できる体制を構築すべきだ」と付け加えた。
カスペルスキーはランサムウェア被害を減らすために、▲エンドポイント検知・対応（EDR）と拡張型検知・対応（XDR）など統合セキュリティプラットフォームの構築 ▲マネージド検知・対応（MDR）およびインシデント対応（IR）サービスの活用 ▲リモート・デスクトップ・プロトコル（RDP）のセキュリティ設定強化 ▲アプリケーション制御とコマンド＆コントロール（C2）通信のモニタリングなど、多層的なセキュリティ体制を構築することを勧告した。